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1-e.QUE ES EL 
BIG DATA? 


I.I.- SIGNIFICADO, USOS YTECNOLOGIAS 
DEL BIG DATA. 


Existen multiples definiciones de Big Data de diver- 
sas fuentes. En sintesis, con dicho termino se hace 
referencia al conjunto de tecnologias, algoritmos 
y sistemas empleados para recolectar datos a una 
escala y variedad no alcanzada hasta ahora y a la 
extraccion de informacion de valor mediante siste¬ 
mas analiticos avanzados soportados por compu- 
tacion en paralelo. 

Al Big Data frecuentemente se le caracteriza me¬ 
diante tres V: Volumen, Variedad y Velocidad: 



• Volumen es la caracteristica mas obvia y que recoge el propio nombre de Big Data. Se pasa de manejar magnitudes 
de megabytes, gigabytes, como mucho Terabytes, a manejar Petabytes de forma cada vez mas frecuente. 

• Ademas de volumen de datos, su Variedad ha crecido exponencialmente, tanto por la tipologia de datos como por 
sus fuentes. Se ha pasado de manejar datos estructurados en bases de datos procedentes, en su mayoria, de fuentes 
internas, a tratar datos estructurados, semiestructurados y desestructurados; de ser datos cuasi estaticos a datos di- 
namicos o en continuo cambio; de originarse en un numero de fuentes limitadas a proceder de personas, maquinas, 
sensores, etc. Esta variedad y volumen, requieren un tratamiento diferente para poder convertirse en informacion. 

• El tiempo es clave asi que la Velocidad es la tercera V. La captura, movimiento y proceso de los datos se hace a gran 
velocidad, llegando a ser en tiempo real en algunos casos. 


Ademas, algunos autores y organizaciones han anadido nuevas 'v' para definir de forma mas precisa al Big Data, por 
ejemplo, Veracidad (la calidad de los datos capturados es clave), Variabilidad (el significado de los datos cambia frecuen¬ 
temente y se pueden producir inconsistencias que se han de manejar) y Valor (los ingresos o beneficios del Big Data). 


Otro concepto relacionado que se maneja es el de data lake o lago de datos 1 , en tanto que no solo se trata de un alma- 
cenamiento de proposito especifico de bajo coste y gran volumen, sino que se eleva a una agrupacion o conglomerado 
de datos compartida por toda la organizacion en la que todo tipo de datos son accesibles simultaneamente por una 
variedad de motores de analisis sin apenas friccion. Es facil ver que un concepto con un potencial tan grande para tratar 
volumenes ingentes de datos -muchos de ellos personales- y desarrollar inferencias y correlaciones, Neva aparejados 
enormes posibilidades de progreso y a la vez retos importantes para la privacidad y la proteccion de datos personales a 
los que hay que hacer frente. 


1 Un lago de datos o data lake es un repositorio de almacenamiento a gran escala que ademas proporciona una gran potencia de computo o procesamiento. En el 
se almacenan cualquier tipo de datos y tiene la potencialidad de gestionar una cantidad practicamente limitada de tareas concurrentes. 
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En un primer contacto con el Big Data, hay quien se plantea si no es Business Intelligence o inteligencia empresarial 
con otro nombre. Ante esto hay que tener en cuenta que, si bien en ambos casos se maneja un volumen importante 
de datos para ayudar en el analisis de la informacion y la toma de decisiones, en el Big Data se integra informacion de 
una mayor diversidad de fuentes (internas y externas) y formatos (variedad), y en muchos casos el resultado se ha de 
obtenercon mucha mayor celeridad (velocidad). 

Por otra parte, desde un punto de vista de arquitectura y tecnologia, se puede estructurar un sistema Big Data en cinco 
capas principales: 

• Capa de fuentes de datos: en esta capa estarian todos los origenes de la informacion, desde bases de datos relaciona- 
les hasta cualquier tipo de datos, estructurados o no. 

• Capa de integracion: aqui se adquieren los datos y se integran en conjuntos con el formato adecuado. 

• Capa de almacenamiento de datos: el conjunto de recursos adecuados para el almacenamiento de grandes volumenes 
de datos. 

• Capa de analisis y modelos de computacion: esto incluye diversas herramientas de manejo de datos, que operan sobre 
los recursos de almacenamiento e incluyen la gestion de los datos y los modelos de programacion. 

• Capa de presentacion y aplicacion: incluye las tecnologias de visualizacion tales como dispositivos moviles, navegado- 
res, etc. Una vez obtenido el conocimiento, este se puede aplicar en distintos procesos. 

Dentro de las tecnologias utilizadas destacan las herramientas open source 2 , que integran el almacenamiento y proce- 
sado de datos, la gestion del sistema y otros modulos para ofrecer una solucion completa. 



I.2.- RIESGOS LEGALES, AMENAZAS Y OPORTUNIDADES. 


Como acabamos de comentar, los tratamientos de 
Big Data analizan grandes volumenes de datos a una 
velocidad antes inimaginable. Por si ello fuera poco, 
se han revelado como una herramienta eficaz y util 
para realizar predicciones. Es indudable su valor en 
sectores clave como en el sanitario, donde existen 
ya muchos ejemplos de su eficacia para reducir el 
tiempo de ingreso hospitalario o predecirfuturas en- 
fermedades y riesgos sanitarios. 

Tambien se preve su utilizacion en las Smart Cities 
como herramienta para prevenir, por ejemplo, co- 
lapsos de trafico y excesos de contaminacion. En el 
sector de la distribucion permite anticipate al con- 
sumidor evitando situaciones de desabastecimiento 
de productos y falta de suministro. Por estos y otros 
usos no planteados, se puede considerar que esta 
tecnologia sera muy provechosa para la sociedad ya 
que puede aportarle numerosos y valiosos benefi- 
cios economicos y sociales. 


Pero como toda herramienta potente y novedosa, 
surgen dudas y preocupaciones sobre posibles usos 
que, o bien no sean licitos por realizarse sin respaldo 
legal para ello, o bien generen abusos en usos basa- 
dos en el valor economico de los datos personales, 
considerados como el petroleo del siglo XXL 

La generacion de perfiles de consumidores o profi¬ 
ling es sin duda uno de los usos principales del Big 
Data, y puede entranar riesgos por posibles trata¬ 
mientos basados en predicciones, si se utilizan de 
forma discriminatoria excluyendo a sectores mino- 
ritarios en base a los resultados analizados, lo que 
se viene denominando "la dictadura de los datos". 
Tambien surgen temores fundados sobre su poten- 
cial uso en sectores poblacionales vulnerables como 
pueden ser menores, ancianos o colectivos margi- 
nados, por lo que es necesario establecer garantias 
adecuadas en todos los ambitos. 


2 “Open Source ” o codigo abierto es una modalidad colaborativa y publica de desarrollo de programas cuyo codigo fuente se distribuye con una licencia que permite 
a cualquiera y de forma gratuita estudiarlo, modificarlo y redistribuirlo, requiriendo generalmente que los cambios sean a su vez publicados y limitado o prohibiendo 
cobrar por los mismos. 
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Basandose en los riesgos que originan estos trata- 
mientos para la privacidad de las personas, se han 
identificado en este "Codigo de buenas practicas en 
proteccion de datos para proyectos de Big Data", los 
aspectos que deben ser abordados para que los tra- 
tamientos de Big Data sean conformes a la normativa 
sobre proteccion de datos personales. 

Un primer bloque lo componen los aspectos legales. 
Abordan cuestiones clave, como la trasparencia que 
se debe ofrecer en la informacion previa facilitada 
a los afectados, asi como la obtencion del consen- 
timiento y el ejercicio de derechos por parte de los 
afectados. 

No debemos olvidar la dificultad practica que nos 
podemos encontrar con futuros usos no previstos en 
el momento de obtener la informacion y el consenti- 
miento para ellos, asi como las peculiaridades legales 
derivadas de la generacion de perfiles y la monitori- 
zacion de la conducta (profiling), del ejercicio del de- 
recho de oposicion y el derecho de impugnacion de 
valoraciones basadas en decisiones automatizadas. 
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Tambien se encuentran dificultades anadidas debi- 
do al origen y procedencia de la informacion, que no 
siempre proviene de fuentes propias sino tambien de 
terceros, y al uso de los datos por diferentes figuras 
(responsables y encargados de tratamiento). Final- 
mente se plantean cuestiones diversas como el plazo 
de conservacion y retencion de los datos, asi como el 
uso y la reutilizacion de datos previamente disociados. 

Un segundo bloque de riesgos y amenazas viene de la 
mano de aspectos tecnicos y de seguridad. Asi, la ano- 
nimizacion, debe ser considerada teniendo en cuenta 
el riesgo de reidentificacion de la informacion, lo que 
obliga a realizar un analisis del riesgo para eliminar- 
lo o minimizarlo, e incluso una evaluacion de impac- 
to. Tambien plantean peculiaridades el uso del cloud 
computing en los tratamientos de Big Data, que obli¬ 
ga a plantearse estrategias de seguridad reforzadas, 
como el uso de tecnicas de cifrado. 
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I.3.- ETICA DIGITAL, PRIVACIDAD Y BIG DATA. 


El uso del Big Data, como la mayoria de las tecno- 
logias con incidencia directa en las personas, y en 
definitiva en la sociedad, no esta exento de preocu- 
paciones o, desde una perspectiva menos severa, 
de ciertas consideraciones previas que hay que te- 
ner en cuenta. cHasta donde queremos y podemos 
llegar como "sociedad tecnologica"? ELos beneficios 
que nos aportara esta nueva forma de explotacion 
de la informacion estan justificados a cualquier pre- 
cio? cDebemos plantearnos aspectos eticos sobre 
el uso que se le dara a estas ingentes cantidades de 
informacion y sobre las decisiones que en base a esa 
informacion se puedan tomar sobre cientos de miles 
de individuos? 

La respuesta parece clara, y es que al menos debe¬ 
mos plantearnos tales consideraciones. Ya lo han 
hecho autoridades de control en materia de priva¬ 
cidad, como el Supervisor Europeo de Proteccion de 
Datos 3 , que ha puesto el enfasis en los siguientes 
desafios que puede traernos (en realidad, que ya nos 
ha traido) el Big Data: 


• Falta de transparencia, ligada al celo que las organiza- 
ciones ponen cada vez mas en como procesan la infor¬ 
macion y que utilidad puede tener el resultado de ese 
procesamiento para la propia organizacion. Este celo en 
no revelar los tratamientos de la informacion que llevan 
a cabo puede conducir a que los ciudadanos no sepan 
realmente que ocurre con sus datos una vez los facilitan. 
Y esto es asi porque, en ocasiones, quizas ni las propias 
empresas son del todo conscientes de hasta donde lle- 
garan tales tratamientos de informacion. En este sentido, 
es muy relevante que los interesados sean conocedores 
de los impactos que los diferentes tratamientos pueden 
tener sobre su privacidad. 

• Desequilibrio en la informacion entre las personas y 
las empresas que tratan sus datos personales; desequili¬ 
brio que es muy probable que aumente con el avance de 
sistemas Big Data. Un ejemplo relevante de esta posible 
situacion es la modificacion de precios de un producto 
en funcion de lo que este dispuesto a pagar cada consu- 
midor, segun los resultados que haya arrojado el corres- 
pondiente analisis de la informacion a disposicion de una 
empresa 4 


3 Supervisor Europeo de Proteccion de Datos / Opinion 7/2015 Meeting the challenges of Big Data / 19 de noviembre de 2015. 

4 Iniciativas como el http://www.datatransparencylab.org/ trabajan en proponer iniciativas para mejorar la transparencia en la provision de servicios de la Sociedad 
de la Informacion. 





Resulta evidente que los dos anteriores aspectos se cruzan de forma directa 
con los principios eticos y de privacidad basicos. El derecho a la proteccion 
de datos, intrinsecamente relacionado con el derecho a la intimidad, esta 
basado en los principios relativos al tratamiento, recogidos en el artfculo 5.1 
del RGPD donde se pone de manifiesto que los datos personales solo podran 
ser tratados de manera licita, leal y transparente. Ademas, los datos deberan 
estar limitados a lo necesario en relacion con fines determinados, explicitos 
y legitimos. 

Otro principio fundamental del derecho a la Proteccion de Datos es el de 
legitimacion, directamente relacionado con el deber de informacion, por el 
cual el titular de los datos debe ser informado con absoluta claridad acerca 
de las finalidades para las que se recaban sus datos. El artfculo 13 del RGPD 
incluye toda la informacion que se debe facilitar a los interesados cuando se 
recaban sus datos personales. El Big Data, por su propia esencia, puede Ne¬ 
va r a situaciones en los que la finalidad inicial para la que se recogio el dato 
quede al menos "difuminada" una vez el dato es explotado. 

En conclusion, la regulacion tendra un papel determinante en la contencion 
de los tratamientos de informacion de manera que se ajusten a los principios 
eticos y de privacidad que imperan en cada vez mas areas del mundo. Y junto 
a esa regulacion, sin duda las autoridades regulatorias y de control tendran 
tambien mucho que decir. 

I.4.- MARCO DE LA GOBERNANZA. 


El contexto de la gobernanza de la proteccion de los datos personales, enten- 
dida como el conjunto de metodologfas, politicas y herramientas que permi- 
ten la gestion de los datos personales y de la informacion para asegurar su 
calidad, su control y explotacion segun los objetivos estrategicos definidos 
dentro de una empresa u organizacion y el cumplimiento de la normativa 
sobre esta materia, ha sufrido un cambio radical con el desarrollo de las tec- 
nologfas Big Data. 

El impacto inicial se ha producido por la gran cantidad de informacion gene- 
rada y que tiene que ser almacenada. Ademas, se une a ese gran volumen la 
naturaleza heterogenea de su contenido. Se manejan datos de tipo estructu- 
rado tradicionales, pero tambien informacion de toda la actividad producida 
por los usuarios, como audio, video, imagenes, conversaciones, que son muy 
diffciles de tratar con las herramientas que existfan anteriormente. 

La rapidez con la que se tienen que almacenar unida a esa extension en su ti- 
pologfa, hace muy diffcil que los procesos de verificacion y calidad utilizados 
hasta ahora sean totalmente eficaces, por lo que es necesario crear nuevas 
metodologfas y herramientas adecuadas. 

Y para esto, es fundamental que toda la organizacion se involucre en la ob- 
tencion, analisis y comprension de los datos y de la informacion disponible. 
Estas tareas no pueden quedarse solo en las areas de sistemas de informa¬ 
cion y de inteligencia de negocio. Todos los miembros de la organizacion 
deben ver el dato como un valor en si mismo, y tienen que tener en cuenta, 
desde los primeros momentos de la definicion de un producto, servicio o 
proceso, como conseguir la informacion adecuada, como almacenarla, como 
usarla para mejorar el propio servicio o proceso, y como analizarla posterior- 
mente. 
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Cada persona dentro de la organizacion debera 
participar en la comprension de la informacion, 
desde el perfil mas tecnico al mas ejecutivo. Para 
conseguir la maxima eficacia y valor del dato, se 
tienen que crear canales de comunicacion y un 
lenguaje comun dentro de la organizacion para 
forzar y gestionar adecuadamente esta dinamica. 


I.5.- PRACTICAS HABITUALES EN LOS TRATAMIENTOS. 


Las organizaciones en sus tratamientos de Big Data tratan de ob- 
tener valor, ya sea economico en las organizaciones con animo 
de lucro u ofrecer un mejor servicio en las que no lo tienen. 


Pero la extension del valor de los datos a toda 
la organizacion conlleva un riesgo en la gestion 
de informacion confidencial y personal. El reto 
principal es como conseguir que la informacion 
mas valiosa sea utilizada por las personas mas 
adecuadas sin comprometer la privacidad y con- 
fidencialidad de los datos. 

Se deben implantar los sistemas de control de ac- 
ceso, monitorizacion y anonimizacion necesarios, 
para que el analisis se adecue a las normativas 
de proteccion de datos, unido a la creacion de 
politicas preventivas y mitigadoras de riesgos que 
puedan cubrir aspectos no contemplados por 
esos mismos marcos legales. 

Y asociado a este ultimo punto, destaca la gestion 
del consentimiento de los usuarios y la transpa¬ 
rency sobre como se utiliza su informacion per¬ 
sonal. El usuario debe conocer en todo momen- 
to, de forma sencilla, que informacion personal 
se utiliza y para que se utiliza, asi como permitir 
que pueda o no dar su consentimiento, e incluso 
posteriormente oponerse al tratamiento. 



Aunque el termino se ha puesto de moda en los ultimos anos, se 
Neva haciendo desde hace bastante tiempo y se pueden encon- 
trar ejemplos relevantes en el pasado. 

Un ejemplo interesante es como Wal-Mart, la gran cadena de 
supermercados de bajo coste de Estados Unidos, distribuyo con 
anticipacion lo que iban a comprar los ciudadanos al acercarse 
el huracan Katrina. Esta preparacion, en base al analisis de que 
compraban sus clientes en estos eventos, le permitio estar pre- 
parado y poder satisfacer ese pico de demanda atipica. 


Los casos de uso y negocio se pueden agrupar en seis categorias: 

• Mejor conocimiento del cliente: la informacion permite ofre¬ 
cer un mejor servicio y atencion al cliente. 

• Mejor conocimiento del mercado para la captacion de nuevos 
clientes. 

• Personalizacion de productos y servicios: la informacion permi¬ 
te personalizar el servicio ofreciendo una mejor experiencia de 
cliente, incrementando la fidelizacion y satisfaccion. 

• Mejora y rapidez en la toma de decisiones: la informacion per¬ 
mite a las organizaciones publicas y privadas tomar mejores de¬ 
cisiones, optimizando la gestion de procesos y, por tanto, redu- 
ciendo costes aumentando la competitividad. 

• Prevision del comportamiento: un analisis adecuado permite 
obtener una mejor vision de que puede pasar, ampliar la vision 
estrategica y de negocio, crear nuevos servicios y productos, y 
obtener nuevos ingresos. 

• Monetizacion: la propia informacion puede ser monetizada, 
por ejemplo, a traves de una mejor publicidad o compartiendo 
estos datos con otras companias (eso si, asegurando el cumpli- 
miento del marco legal). 


Practicamente en todos los sectores de actividad se pueden en- 
contrar ejemplos de uso del Big Data. Aunque solo se Megan a 
conocer los casos de exito, hay que estar preparado para que en 
cualquier uso de Big Data se produzcan resultados erroneos y 
poder evitar que su aparicion cause efectos daninos. En muchos 
casos, esos "errores" pueden ser inocuos (pensemos, por ejem¬ 
plo, en la presentacion de una publicidad ligeramente erronea 
donde el perjuicio es que la probabilidad de venta es cero) com- 
parado con el uso para la toma de decisiones que puedan causar 
perjuicios a personas o colectivos especificos. 
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Para apreciar los usos del Big Data, nada mas util que presentar algunos ejemplos reales en varios sectores de acti- 
vidad: 


• Venta por Internet: es el mas obvio y uno de los pioneros. Todo aquel que compra por Internet puede observar 
como la publicidad que recibe es cada vez mas atinada al contenido de las busquedas que realiza o la informacion 
que consulta, incluso aunque aparentemente no se haya identificado. Asimismo, en el proceso de compra, rara es la 
tienda que no ofrecera productos y servicios complementarios en base a la experiencia de otros clientes. 

• Venta presencial: analisis de los patrones de compra dentro de la tienda y por cliente. En el caso del cliente, el uso 
de las tarjetas de fidelizacion es clave. Toda esa informacion ayuda a colocar los productos para maximizar su venta, 
ofrecer descuentos y productos a los clientes apropiados, identificar compras correlacionadas, etc. Cuanto mas co- 
nozcan como compramos, mas se puede adaptar la tienda para maximizar su venta. 

• Sector bancario: uso en el analisis de riesgos en general y en la concesion de prestamos en particular, lucha contra 
el fraude, personalizacion de ofertas para clientes, captacion de clientes externos ayudandoles a utilizar su informa¬ 
cion financiera o a crear servicios de valor anadido, etc. 

• Industria petrolifera: ha sido una de las industrias pioneras en el uso del Big Data, el apropiado analisis de la infor¬ 
macion sismica y otros datos geologicos permite perforar en los lugares mas productivos. Una vez en produccion, la 
monitorizacion continua mediante multiples sensores permite maximizar el tiempo de funcionamiento y mejorar la 
seguridad de trabajadores y del entorno. 

• Politicas publicas: Soporte para toma de decisiones en el desarrollo de politicas publicas en diferentes ambitos 
como el educativo, sanitario, servicios de emergencia, turismo, transpose, seguridad ciudadana, empleo. 


• Ayuda al desarrollo y situaciones de emergencia: Herramienta para la gestion de situaciones de catastrofes, politi¬ 
cas de desarrollo humano y social. 








II. NORMAS Y PRINCIPALES 

OBLIGACIONES 
LEGALES EN MATERIA 
GE PRIVACIDAD. 


II.1.- REGIMEN JURIDICO APLICABLE. 


El marco juridico aplicable a los proyectos de Big Data 
se compone por un conjunto de normas que lo regulan, 
aunque ninguna es especifica para este tipo de tratamien- 
to. Aunque actualmente la legislacion a aplicar es la Ley 
15/1999 de proteccion de datos de caracter personal (en 
adelante, LOPD) y su reglamento de desarrollo, el Re- 
glamento General de Proteccion de Datos (en adelante, 
RGPD) aprobado el 18 de abril de 2016, sera plenamente 
aplicable a partir del 25 de mayo de 2018, por lo que debe 
ser tenido en cuenta por cualquier entidad que pretenda 
desarrollar proyectos con este tipo de tecnologia. 

El RGPD se aplica al tratamiento de datos personales, en- 
tendiendose estos como cualquier informacion concer- 
niente a personas li'sicas identificadas o identificables. La 
identificabilidad, que supone la aplicacion de la normativa, 
se refiere a que una persona pueda ser identificada por 
un dato o por la combinacion de informacion de diversas 
fuentes. De manera mas precisa, para determinar si una 
persona es identificable, han de usarse "todos los medios 
que puedan ser razonablemente utilizados y sin esfuerzos 
desproporcionados". El analisis de la identificabilidad debe 
basarse en dos criterios, el de la razonabilidad en la dispo- 
nibilidad de los medios (tecnicos, humanos y fuentes de 
datos) y en la proporcionalidad de los esfuerzos para poder 
identificar directa o indirectamente a la persona fisica por 
parte del responsable del tratamiento o por cualquier otra 
persona. 

En ese sentido, cuando no sea posible la identificacion de 
los individuos, o esta requiera esfuerzos desproporciona¬ 
dos, no sera de aplicacion la normativa de proteccion de 
datos. Ademas, hay muchos casos en los que los datos tra- 
tados y analizados con Big Data no seran datos personales 
(por ejemplo, aquellos datos relativos al trafico, la conta- 
minacion o al clima), por lo que tampoco sera aplicable el 
RGPD. 


Ademas, si los datos estan completamente anonimizados, 
no se consideraran datos de caracter personal, por lo que 
la normativa tampoco sera de aplicacion. En este sentido, 
la anonimizacion supone que no sera posible identificar a 
la persona con datos o con informacion de diversas fuen¬ 
tes, teniendo en cuenta todos los medios que puedan ser 
razonablemente utilizados para su identificacion. El Grupo 
de Trabajo del Articulo 29 (GT29) ha analizado este con- 
cepto de dato personal en su Dictamen 04/2007 5 . 

Pero en muchos otros casos, como se analiza a conti- 
nuacion, si existira tratamiento de informacion personal 
(medios sociales, transacciones bancarias, etc). Por tan- 
to, siempre que sea posible identificar a los individuos, 
habra de tenerse en cuenta la aplicacion de la normativa 
de proteccion de datos. Y para ello, sera necesario contar 
con alguno de los fundamentos legales que establece la 
normativa. 

Al respecto, junto con el consentimiento del interesado 
para el tratamiento de sus datos personales, el articulo 6 
del RGPD tambien establece otras legitimaciones, como el 
tratamiento de datos necesarios para la ejecucion de un 
contrato, cuando haga referencia al cumplimiento de una 
obligacion legal, cuando el tratamiento de los datos ten- 
ga por finalidad proteger un interes vital del interesado, o 
cuando el tratamiento sea necesario para el cumplimiento 
de una mision realizada en interes publico o para la satis- 
faccion del interes legitimo perseguido por el responsable 
del tratamiento o por un tercero, siempre que no se vul- 
neren los derechos y libertades fundamentales del intere¬ 
sado. 

En el caso que nos ocupa, para el tratamiento de datos en 
proyectos de Big Data, se analizaran los fundamentos mas 
relevantes. Respecto a la primera de las legitimaciones 
para el tratamiento, el consentimiento, este debera reunir 
las condiciones que establece la normativa vigente. 


5 Dictamen 4/2007 sobre el concepto de datos personales (WP 136). 



Es importante resaltar que, para que el consentimiento 
cumpla con los requisitos previamente mencionados, sera 
necesario que este sea libre, explicito y que pueda ser re- 
vocado. El artfculo 7 del RGPD regula especificamente las 
condiciones del mismo. 

No obstante, otras legitimaciones pueden tener cabida para 
el tratamiento de datos personales. Por ejemplo, en caso 
de que estos datos sean necesarios para el desarrollo de 
contrato o precontrato de una relacion negocial, laboral o 
administrativa, entre el afectado y el responsable, y sean 
necesarios para su mantenimiento o cumplimiento. En es¬ 
tos casos, habra que determinar cuando el tratamiento es 
necesario para el cumplimiento de este contrato, dado que 
normalmente, los proyectos de Big Data suelen tener un al- 
cance mayor al inicio, por ejemplo, de la prestacion de un 
servicio, mediante el analisis de los datos resultantes de ese 
servicio para otras finalidades. En ese sentido, la utilizacion 
de este fundamento habra de ser cuidadosamente analiza- 
do caso por caso. 



Es tambien posible que los tratamientos de Big Data puedan estar basados en la satisfaccion de un interes publico o en 
el ejercicio de poderes publicos. Normalmente, este tipo de tratamientos sera llevado a cabo por entidades publicas, 
aunque serfa posible identificar casos en que la atencion de intereses publicos relevantes pudiera asumirse por entida¬ 
des privadas. 

Ejemplos de tratamientos de Big Data, con o sin el empleo de datos personales, sobre esta base jurfdica podrian ser los 
relacionados con proyectos de "Smart Cities" o los desarrollados por servicios publicos de salud. 

En todo caso, el Reglamento General de Proteccion de Datos precisa que tanto el interes publico como los poderes pu¬ 
blicos que se ejerzan tienen que estar establecidos en el Derecho de la Union o de los Estados Miembros. Asimismo, el 
Reglamento preve, y ello es relevante en el contexto de tratamientos de Big Data, que para determinadas finalidades, 
como pueden ser las relacionadas con un interes publico esencial, las de investigacion cientffica, las relacionadas con la 
atencion sanitaria o social, o las relativas a salud publica, los tratamientos seran posibles en las condiciones que determi¬ 
ne la legislacion europea o nacional. Las normas correspondientes estableceran, ademas, las garantfas necesarias para 
la proteccion de los derechos y libertades de los interesados. 

Otra de las posibilidades que ofrece la normativa es la que se centra en la satisfaccion del interes legitimo perseguido 
por el responsable del tratamiento, siempre que no se vulneren los derechos y libertades fundamentales del interesado. 
En estas situaciones sera necesario analizar el balance entre el interes legitimo y los derechos y libertades. El Grupo de 
Trabajo del Artfculo 29 se ha pronunciado al respecto en su opinion Dictamen 06/2014 6 . 

Dicho Dictamen establece unos criterios en el balance del interes legitimo del tratamiento que deberan ser objeto de 
reflexion en los analisis de impacto que en su caso lleve a cabo el responsable del tratamiento: 


-Que exista un interes legitimo del responsable o del tercero que alegue dicho interes. 
-El impacto que dicho tratamiento tenga en el interesado. 

-La naturaleza de los datos objeto de tratamiento y la forma de dicho tratamiento. 

-Las expectativas razonables de los interesados en relacion con el tratamiento. 

-El desequilibrio entre el responsable del tratamiento y el interesado. 


6 Dictamen 06/2014 sobre el concepto de interes legitimo del responsable del tratamiento de los datos en virtud del artfculo 7 de la Directiva 95/46/CE (WP 217). 
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Una de las cuestiones basicas y previas es el primer elemento del analisis, la existencia de un interes legitimo del respon- 
sable. El Dictamen menciona varios casos en los que dicho interes puede existir, tales como la libertad de informacion y 
expresion, las actividades de marketing o publicidad, prevencion del fraude o mal uso de servicios, seguridad, finalidades 
cientificas, estadisticas o de investigacion. 

El Dictamen hace tambien mencion a la personalizacion de ofertas comerciales y actividades de marketing online y 
offline. No obstante, advierte, que aun existiendo ese interes legitimo, este no es base suficiente para la ejecucion de 
complejos perfilados de clientes que representarian una intrusion significativa en su privacidad. Estariamos en este caso 
en un impacto sobre los interesados que hay que tener en cuenta en el mencionado analisis de balance. Por tanto, la 
existencia de un interes legitimo no es base suficiente, pero si necesario en el analisis. Habra que tener en cuenta el 
impacto del tratamiento en los derechos fundamentales y libertades de los interesados. 

Algunas de las aplicaciones de Big Data tienen una finalidad estadistica, cuyo objetivo es obtener datos estadisticos agre- 
gados, que en muchos casos permitan tomar decisiones publicas o de negocio. Asi, el RGPD define la finalidad estadistica 
como cualquier operacion de recogida y tratamiento de datos personales necesarios para la produccion de resultados 
estadisticos. Esta finalidad implica que el resultado del tratamiento con fines estadisticos no sean datos personales, 
sino datos agregados, y que este resultado no se utilice para respaldar medidas o decisiones relativas a personas fisicas 
concretas. El RGPD establece que los fines estadisticos no se consideraran incompatibles con los fines iniciales, si bien 
el Reglamento menciona que el responsable debe incluir garantias adecuadas en el tratamiento que aseguren que se 
aplican medidas tecnicas y organizativas para garantizar que no se puede identificar a los interesados. 

Lo mismo cabe decir de otras finalidades relacionadas con Big Data tales como la cientifica o de innovacion donde se 
ofrece una regulacion favorable en estos mismos terminos. 

Ademas, es necesario tener en cuenta que la normativa dota de una serie de garantias a los titulares para la proteccion 
de sus datos, entre los que figura el principio de finalidad, que debe ser determinada, explicita y legitima, para la que se 
hayan obtenido los datos. Este principio de finalidad puede suponer una de las barreras para los proyectos de Big Data, 
dado que no siempre se conoce desde el comienzo el alcance del proyecto. 

En ese sentido, es necesario hacer referencia a que los datos personales no podran usarse para finalidades incompati- 
bles con aquellas para las que los datos hubieran sido recogidos, lo que no significa que no puedan utilizarse para finali¬ 
dades diferentes para las que se recogieron, si no que estas no deben ser incompatibles. El Grupo de Trabajo del Articulo 
29 describe de forma pormenorizada en su Dictamen sobre el principio de finalidad antes mencionado en que casos nos 
encontramos ante fines incompatibles. 

El analisis de no incompatibilidad es basico en el Big Data, dado que, en buena medida, basa sus analiticas en el trata¬ 
miento posterior con finalidades adicionales a la finalidad original. El Grupo de Trabajo del Articulo 29 ha analizado este 
aspecto en su Dictamen (WP 203) 7 . Al respecto, para saber si los usos posteriores de los datos personales son compati¬ 
bles, el Dictamen establece los siguientes criterios: 


-Debe existir una relacion entre la finalidad original y la finalidad o finalidades ulteriores. 

-El tratamiento ulterior debe encontrarse dentro de las expectativas razonables del interesado. 

-Debe tenerse en cuenta la naturaleza de los datos objeto de tratamiento y la sensibilidad de los mismos. 

-Debe considerarse el impacto que este tratamiento va a tener en los interesados. 

-Deben considerarse las medidas de proteccion que el responsable del tratamiento establece, en particular las 
medidas tecnicas y organizativas: encriptacion, seudonimizacion, separacion funcional, transparencia, oposicion al 
tratamiento. 


7 Dictamen sobre el principio de finalidad (WP 203) 




El articulo 6.4 del RGPD ha incorporado a la norma estos criterios, ha- 
ciendo mencion expresa al cifrado y la seudonimizacion dentro de las 
garantfas adecuadas, con lo que seran de aplicacion directa al analisis 
de compatibilidad de todos aquellos tratamientos posteriores que no 
esten basados en el consentimiento del interesado y, por lo tanto, de¬ 
beran tenerse en cuenta en la evaluacion de impacto que realice el res- 
ponsable sobre dichos tratamientos. 

Otros principios a tener en cuenta son los principios de minimizacion y 
conservacion de los datos. La normativa establece que los datos solo se 
podran recoger para su tratamiento, asi como someterlos a dicho tra- 
tamiento, cuando sean adecuados, pertinentes y limitados en relacion 
con fines determinados, explicitos y legitimos. El principio de minimiza¬ 
cion constituye uno de los elementos mas importantes de la normativa 
de proteccion de datos aplicables a este entorno. Este principio va in- 
trinsecamente unido al de conservacion de los datos por el tiempo que 
sea necesario para la finalidad para la que hubieran sido recogidos. 

En el entorno Big Data este principio es especialmente relevante, dado 
que las diferentes fuentes a la que se tiene acceso pueden dar lugar a 
una recogida masiva de datos que no sean pertinentes para la finalidad 
del tratamiento. Las organizaciones deberan tener en cuenta que no se 
recojan datos excesivos en relacion a esa finalidad. Tampoco deberian 
conservarse por mas tiempo del que sea necesario, periodo tras el cual 
deberian eliminarse. 

Por otro lado, la posibilidad de que en un futuro se puedan llevar a cabo 
tratamientos de Big Data con diversas finalidades no significa, en nin- 
gun caso, que se recojan, "por si acaso", mas datos de las personas que 
aquellos que son necesarios para la finalidad primaria que motiva su 
recogida. 

Asimismo, hay que mencionar el principio de la seguridad de la infor- 
macion. La normativa establece que se deberan adoptar las medidas 
tecnicas y organizativas apropiadas para garantizar un nivel de seguri¬ 
dad adecuado al riesgo. Para evaluar dicha adecuacion, se tendran en 
cuenta en particular los riesgos asociados a destruccion, perdida o alte¬ 
ration, o a la comunicacion o acceso no autorizados. 

Al respecto, la Agencia Europea de Seguridad de la Information y la Red 
(ENISA), en su informe Big Data Security ha identificado las diferentes 
amenazas informaticas actuales y emergentes que puede haber para los 
proyectos de Big Data. Especial cuidado se tendra en relacion con los 
datos que esten alojados en la nube, aspectos sobre los que conviene 
revisar el Dictamen 05/2012 8 del Grupo de Trabajo del Articulo 29 en 
el que destaca que aquellas empresas que vayan a utilizar servicios en 
la nube, tendran que tener en cuenta la seguridad de los proveedores. 

Respecto a la necesidad de respetar los derechos de acceso, rectifica¬ 
tion, cancelation y oposicion que tienen los afectados, hay que afir- 
mar rotundamente que tambien pueden ejercerse en el tratamiento de 
datos en proyectos de Big Data en los que se traten datos de caracter 
personal. Asimismo, tendra derecho a que el responsable limite el tra¬ 
tamiento de sus datos y a no ser objeto de una decision basada unica- 
mente en tratamientos automatizados. 


8 Dictamen 05/2012 sobre la computacion en nube (WP 196) 
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II.2.- RESPONSABLE Y ENCARGADO DEL TRATAMIENTO. 


El concepto de responsable y encargado del tratamien- 
to es crucial en el contexto del tratamiento de datos y 
lo mismo sucede en los proyectos de Big Data, ya que 
con frecuencia se suelen externalizar los tratamientos y 
el analisis de los datos. 

La legislacion establece normas especificas para aquellos 
casos en los que los datos son tratados por diferentes 
actores. En ese sentido, el RGPD establece que el respon¬ 
sable, es la "persona ffsica o juridica, autoridad publica, 
servicio u otro organismo, que determine los fines y me- 
dios del tratamiento, y asimismo define encargado como 
persona ffsica o juridica autoridad publica, servicio u otro 
organismo que trate datos personales por cuenta del res¬ 
ponsable del tratamiento". 

El responsable del tratamiento fija la finalidad del trata¬ 
miento y decide sobre la externalizacion del mismo y en 
que grado delega las actividades de tratamiento a otra 
organizacion. Ademas, elegira unicamente a un encarga¬ 
do que ofrezca garantfas suficientes para aplicar medidas 
tecnicas y organizativas adecuadas de manera que el tra¬ 
tamiento sea conforme al RGPD. 

Ademas, el RGPD introduce la figura del corresponsa- 
ble del tratamiento en los casos en los que dos o mas 
responsables determinen conjuntamente los objetivos y 
los medios del tratamiento, que han de fijar de mutuo 
acuerdo sus responsabilidades respectivas en el cumpli- 
miento de las obligaciones impuestas por el RGPD, de- 
biendose poner a disposicion del interesado los aspectos 
esenciales del acuerdo. 

Por otro lado, cuando un tercero, actuando en nombre 
del responsable, suministra los medios o la plataforma 
en el caso de cloud computing se considera que es el en¬ 
cargado. Otros casos pueden tambien darse en la insta- 
lacion y mantenimiento de herramientas informaticas de 
Big Data, contratacion de empresas para que realicen o 
analicen el Big Data, etc. 

Es importante analizar y precisar el rol de cada uno de es- 
tos actores para determinar sus obligaciones en relacion 
con la legislacion sobre proteccion de datos. El Dictamen 
1/2010 9 , establece que, para poder actuar como encar¬ 
gado del tratamiento, tienen que darse dos circunstan- 
cias: que se trate de una entidad independiente del res¬ 
ponsable y, segunda, que se traten los datos por cuenta 
de este. Ademas, tambien puede llevar a cabo activida¬ 
des especificas sobre el tratamiento, con autonomia para 
determinar que medios tecnicos son los mas adecuados. 

No obstante, si el encargado del tratamiento recoge, 
trata datos por su cuenta o establecen un nuevo vinculo 
juridico con los titulares de los datos suministrados por 



el responsable, determinando la finalidad y tratandolos con- 
forme a la misma, se le considerara responsable respecto a 
este nuevo tratamiento. 

El RGPD establece que la realizacion de tratamientos por 
cuenta de terceros debera estar regulada en un contrato 
por escrito, u otro acto juridico, que vincule al encargado 
respecto del responsable y establezca el objeto, la duracion, 
la naturaleza y la finalidad del tratamiento, asi como el tipo 
de datos personales, categorias de interesados y las obliga¬ 
ciones y derechos del responsable. 

Habra ocasiones en que el encargado del tratamiento nece- 
site recurrir a terceros, como cuando se contrate servicios 
en la nube, que pueda suponer la participacion de terceros 
que actuen como subencargados del tratamiento. 

En estos casos, el encargado que subcontrate servicios de¬ 
bera comunicarlo al responsable, informando sobre el tipo 
de servicio que se ha subcontratado, asi como las garantfas 
que estas organizaciones ofrecen para cumplir con la nor- 
mativa. En cuanto a las obligaciones de los subcontratados, 
estas seran las mismas que las que se aplican a los encarga- 
dos, y han de recogerse asimismo en un contrato. 

La ley establece que una vez cumplida la prestacion contrac¬ 
tual, los datos de caracter personal deberan ser destruidos 
o devueltos al responsable del tratamiento, al igual que 
cualquier soporte o documentos en que conste algun dato 
de caracter personal objeto del tratamiento. 

Al igual que en otros tratamientos, en aquellos casos en que 
el encargado del tratamiento destine los datos personales 
a otra finalidad, los comunique o los utilice incumpliendo 
las estipulaciones del contrato, sera considerado tambien 
responsable del tratamiento y, por tanto, debera informar 
al interesado sobre la identidad del nuevo responsable y de 
las categorias de datos que se van a tratar, asi como de los 
destinatarios de los datos. 

En cada caso habra que estudiar la asignacion de responsa- 
bilidad de tal manera que el cumplimiento de las normas de 
proteccion de datos se vea garantizada. 


9 El Dictamen 1/2010 establece que «el papel primero y primordial del concepto de responsable del tratamiento es determinar quien debe asumir la responsabili- 
dad del cumplimiento de las normas sobre proteccion de datos y de que manera los interesados pueden ejercer sus derechos en la practica. En otras palabras, debe 
asignar la responsabilidad». 
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II.3.- PRINCIPALES IMPLICACIONES DE LOS TRATAMIENTOS BIG DATA EN PRIVACIDAD. 

11.3.1.- ORIGEN DE LOS DATOS. 

El origen de datos es el primer aspecto que debe tenerse en cuenta en la cadena de tratamientos contemplados en un 
sistema de Big Data. Una parte importante de la complejidad del analisis de estos tratamientos ocurrira en aquellos ca- 
sos en que el sistema se nutra de informacion proveniente de multiples origenes. 

Segun el nivel de confiabilidad que ofrezcan los diferentes origenes de datos, la calidad de los datos primarios puede 
quedar comprometida de inicio y arrastrarse durante todo su ciclo de vida. 

Aqui es donde la clasificacion de las fuentes en endogenas (circunscritas a la definicion y control de la propia organi¬ 
zation) y exogenas (fuentes externas) provocara la necesidad de aplicar filtros y controles compensatorios en mayor o 
menor medida. 

Mas alia de la calidad de los datos primarios, la integracion de los mismos desde diferentes origenes, o fuentes de 
procedencia, no siempre es sencilla pese a la aplicacion de sofisticadas tecnicas de depuracion apoyadas a menudo en 
diccionarios de datos. Esto hace que deba recurrirse a otros datos complementarios para ayudar a garantizar la fiabilidad 
de los datos incorporados. 

Para minimizar estas dificultades, cada vez se obtienen en origen un mayor numero de metadatos (informacion secunda¬ 
ria constituida por datos que califican a otros datos) que pueden informar de la ubicacion desde donde se ha recabado 
el dato, en que momento, quien lo ha facilitado, desde que tipo de sensor, su factor de precision, etc. 

Es facil intuir que la adicion indiscriminada de metadatos redunda en ventajas e inconvenientes, especialmente para la 
privacidad: 


- Como ventajas, aporta una mejor interoperabilidad y aumento de la calidad de los datos personales tratados 
(o datos visibles), al estar calificados por los metadatos (o datos invisibles). 

- Como inconvenientes, representa elevar el nivel de riesgo de incumplir algun principio general de la protec¬ 
tion de datos, como es el principio de minimizacion de los datos, y el principio de limitacion de la finalidad al 
posibilitar que los metadatos sean tratados con finalidades incompatibles respecto a las previstas para la infor¬ 
macion primaria. 


A partir de estas fortalezas y debilidades, debera buscarse el equilibrio en cada caso particular. Asi surge con fuerza el 
concepto de Proteccion de Datos desde el Diseno y por defecto (PDdD - o PbD en ingles), senalado en el art. 25 RGPD, 
apoyandose en una Evaluacion de Impacto relativa a la Proteccion de Datos (ElPD), segun dispone el art. 35 RGPD. 

Para ilustrar la enorme desproporcion, segun el caso, entre los datos primarios o visibles y los metadatos, podemos 
atender a algunos ejemplos significativos: 


- Un tuit. Los datos primarios ocupan 140 caracteres, mientras que los mas de 30 metadatos asociados pueden 
llegar a superar en varias veces esa cifra. 

- Una fotografia con el movil. Acompanan por defecto mas de 40 metadatos, incluyendo el modelo de movil, las 
coordenadas GPS y la altitud en el momento de capturar la imagen. 


Llegados a este punto, cabe recordar que la legislacion vigente en materia de proteccion de datos, incluyendo el princi¬ 
pio de consentimiento, aplica a todos los datos personales con independencia de que estos sean primarios o metadatos 
(visibles o invisibles). 
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A modo de ejemplo, Sunil Soares en 2012 hizo una clasificacion bajo el concepto de los origenes de datos bajo los con- 
ceptos: 




- Grabaciones de voz 




en un "call center" 
Correo electronic*) 
Registros medicos 
electronicos 


Biometna 

Reconocimiento 

facial 

- Informacion 
genetica 




Maquina a maquina 

- Contadores inteligentes 

- Lecturas RFID 

- Senales de Geolocaliza- 




Grandes transacciones 

- Peticiones de atencion 

medica 

■ Registros de metadatas de 
telecomunicaciones 

- Registros de facturacion 




Web y Social Media 

- Historial de navegacion 

-Tuits publicados 
- Publicaciones en el muro de 
Facebook 

- Contenido de una Web 


II.3.2.-TRANSPARENCIA EN LA INFORMACION. 

En el analisis de la interrelation entre consentimiento, y derecho a la informacion en relacion con la tecnica del Big Data, 
en la 36- Conferencia Internacional de Autoridades de Proteccion de Datos y Privacidad, se emitio una Resolucion sobre 
Big Data, en la que se senala que la proteccion proporcionada por los principios de informacion y consentimiento es mas 
importante que nunca, sobre todo en momentos en que se recopila una cantidad cada vez mayor de informacion sobre 
nosotros. 

El RGPD hace una apuesta importante por el hecho de que cada ciudadano tenga un mayor poder de disposicion sobre 
sus datos de caracter personal. Por otro lado, la realizacion de las tecnicas Big Data y la libre circulacion de los datos 
constituyen una realidad innegable para las empresas y, por tanto, esta nueva realidad juridica no debe impedir el de- 
sarrollo economico de la zona UE. Asi lo senala el Considerando 13 del nuevo Reglamento, cuando afirma que: "el buen 
funcionamiento del mercado interior exige que la libre circulacion de los datos personales en la Union no sea restringida 
ni prohibida por motivos relacionados con la proteccion de las personas ffsicas en lo que respecta al tratamiento de 
datos personales". 

La nueva realidad conformada por el Reglamento, no debe suponer una restriccion en el desarrollo del mercado interior 
de la Union, sino todo lo contrario, por ello el camino idoneo no es el establecimiento de restricciones en el tratamien¬ 
to de datos de caracter personal, sino la busqueda de otras formulas que refuercen las propias garantfas juridicas que 
deben presidir dichos tratamientos. Concretamente, se sugiere que se haga referencia a los conceptos de "control", y 
de "transparency informativa", tan usados en proteccion de datos, y que son los que deben ser tambien aplicados a los 
tratamientos derivados de "Big Data". 

Por tanto, con el fin de conciliar los legitimos derechos a la proteccion de datos de caracter personal con el desarrollo 
de la industria, es importante ponderar ambas situaciones en la necesidad de tutelar adecuadamente los respectivos in- 
tereses, atendiendo a conceptos como "transparency" en los tratamientos, o "control" sobre los mismos antes citados. 

Debe ponerse de manifiesto que la exigencia general del consentimiento podria en la practica suponer un obstaculo 
desde el punto de vista de la ponderacion con la que han de ser interpretadas las normas juridicas, pues se impondrian 
unos limites desproporcionados a los desarrollos que se pretendan hacer de esta tecnica. 
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Por ello, se debe dar maxima importancia al cumpli- 
miento del derecho de informacion que todo titular de 
los datos tiene que tener sobre el tratamiento, uso y 
destino que se va a aplicar a los datos personales de su 
titularidad. 

El concepto de transparencia esta basado en la existen¬ 
ce de informacion suficiente sobre el tratamiento, al 
que tiene derecho el titular de los datos. Por ello debe 
insistirse en que dicho conocimiento puede ser la pie- 
dra angular que supere la dialectica sobre la necesidad 
del consentimiento e incluso del derecho de informa¬ 
cion del titular de los datos en la tecnica Big Data, en el 
sentido juridico previsto para los mismos en la legisla- 
cion de proteccion de datos. 

Por conclusion, cualquier uso previsto o futuro que se 
quiera llevar a cabo de los datos de caracter personal, 
necesariamente debe partir de la exigencia legal y mo¬ 
ral del responsable del fichero y/o tratamiento de ac- 
tuar transparentemente con el titular los datos. 


M.3.3.- CALIDAD DE LOS DATOS Y CONSERVACION. 

Dado que el fenomeno del Big Data supone la gestion y tratamiento de ingentes cantidades de datos personales que, 
si bien es cierto, puede brindar grandes ventajas y beneficios a las organizaciones publicas y privadas y a la sociedad 
en general, tambien puede conllevar ciertos riesgos en materia de privacidad. Por ello, es importante que cada entidad 
ponga especial interes en cumplir, entre otros, con el principio de calidad de los datos personales utilizados en proyectos 
Big Data, asi como en la conservacion y almacenamiento de los mismos. 

En primer lugar, la calidad de los datos en un entorno de Big Data debe estar siempre y, en todo momento, contemplada 
desde el inicio del proyecto ya que, en caso contrario, pueden surgir problemas de gran calado para la organizacion. 
Entre otros, podrian contemplarse los siguientes: 

• Realizar tratamientos que son incompatibles con la finalidad que motivo su recogida. 

• Gestionar datos desactualizados o erroneos que llevan a resultados incorrectos. 

• Tomar decisiones o realizar tratamientos basados en datos inexactos que no responden a la realidad. 

• Dificultar la gestion de derechos de acceso, rectificacion, cancelacion y oposicion de los datos personales que trata la 
entidad. 

En este sentido, el RGPD exige que todo tratamiento de datos personales cumpla con el principio de calidad: 

• Que sean tratados de manera licita, leal y transparente. 

• Que sean datos pertinentes y adecuados a la finalidad que motiva la recogida. 

• Que esten estrictamente limitados a los necesarios atendiendo a la finalidad para la que se recogen. 

• Que no se utilicen para finalidades incompatibles o que nada tengan que ver con aquellas que motivaron su recogida. 

• Que sean exactos y esten actualizados. 

Por todo lo anterior, es recomendable que desde el momento que se sienten las bases para abordar un proyecto Big 
Data, la entidad tenga en cuenta lo siguiente: 

• Que se realice un analisis previo al inicio del proyecto sobre la tipologia de datos necesarios, las finalidades iniciales 
que se pretenden con la recogida de datos y aquellas que puedan surgir en un futuro cercano, y la caducidad de los 


mismos. 
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• Que las empresas sepan escoger los datos correctos e interpretarlos de manera adecuada (gestion de datos adecua- 
dos, pertinentes y no excesivos). 

• Que las empresas organicen la informacion que obtienen de manera coherente, en funcion de los propositos perse- 
guidos para evitar recoger y almacenar mas datos de los estrictamente necesarios para cumplir la finalidad para la que 
se recogieron. 

• Que se establezcan protocolos de verificacion periodica que permitan comprobar que el tratamiento de datos continua 
siendo compatible y licito con la finalidad inicial. 

• Que la entidad abogue por cumplir con el principio de minimizacion de datos, es decir, limitar al minimo la cantidad 
de informacion recabada que permita cumplir con el proposito legitimo que se pretende y que se almacene durante el 
tiempo minimo indispensable. Asi, es recomendable que la entidad establezca revisiones periodicas automaticas y tec- 
nicas de revision y depuracion de informacion. 

En segundo lugar, la conservacion de los datos (tanto desde el punto de vista de la forma en que se realiza su almacena- 
miento como respecto al periodo durante el que deben almacenarse) tiene tambien un papel trascendental a la hora de 
abordar un proyecto de Big Data. 

El artfculo 32 del RGPD, dedicado a la seguridad del tratamiento, no detalla las medidas de seguridad relacionadas con 
la conservacion de la informacion, sino que deberan ser definidas por el responsable mediante un adecuado analisis de 
riesgos o evaluacion de impacto. 

Puede ser recomendable para la entidad establecer sistemas de control de acceso (por ejemplo, estableciendo proto¬ 
colos de acceso especificos en funcion del tipo de usuario), realizar el cifrado de la informacion y, en la medida de lo 
posible, utilizar tecnicas de monitorizacion del sistema que sean objeto de auditorias periodicas. 


Respecto al periodo durante el que deberan almacenarse los datos, se limitara al tiempo imprescindible para cumplir 
con la finalidad que motivo la recogida de los datos y, en su caso, durante el tiempo que exija la normativa sectorial 
que resulte de aplicacion. Por ello, puede ser recomendable que la entidad realice una division de datos en funcion del 
tiempo durante el que deben ser almacenados. Dichos criterios deberan ser definidos con el apoyo del departamento 
legal de la entidad. 


11.3. 4.- DERECHOS DE LOS INTERESADOS. 

La proteccion de datos de caracter personal no puede 
entenderse sin ofrecer a los interesados un conjunto de 
derechos que les garanticen el control del uso que se 
hace de sus datos personales por parte de los responsa- 
bles y encargados de esos tratamientos. 

En este sentido, en los articulos 15 y ss del RGPD se re- 
gulan los derechos de acceso, rectificacion, supresion 
(derecho al olvido), limitacion, portabilidad y oposicion, 
asi como el de decisiones individuales automatizadas. 

Con todo ello, el sistema vigente de proteccion de dere¬ 
chos queda configurado de la siguiente manera: 


• Derecho de acceso: el afectado tiene derecho a co- 
nocer si sus datos estan siendo tratados, y entre otra 
informacion, tiene derecho a conocer las finalidades 
del tratamiento, las categorias de datos tratados, los 
destinatarios o categorias de destinatarios a los que se 
comunican o se pueden comunicar esos datos, plazos 
de conservacion de los datos si es posible, origen de los 
datos cuando no hayan sido obtenidos de propio intere- 
sado o las transferencias internacionales previstas o rea- 


lizadas. El derecho de acceso se entiende cumplido con 
la entrega de una copia de esa informacion por parte 
del responsable de tratamiento al interesado. Las copias 
adicionales pueden conllevar el cobro de un canon razo- 
nable por parte del responsable del tratamiento. 

• Derecho de rectificacion: derecho a que, sin dilacion 
indebida, los datos sean rectificados cuando resulten en 
todo o en parte inexactos, asi como que se completen 
los datos que no lo esten. 

• Derecho de supresion (derecho al olvido): derecho a 
la supresion de los datos que le conciernen sin dilacion 
indebida en, entre otros, los siguientes supuestos: los 
datos ya no son necesarios para la finalidad para la que 
fueron obtenidos, el interesado revoca el consentimien- 
to habilitante del tratamiento y no existe otro funda- 
mento juridico que habilite el tratamiento, o el intere¬ 
sado ejercita su derecho de oposicion para tratamientos 
de mercadotecnia o lo ejercita para oponerse a otros 
tratamientos como la elaboracion de perfiles y no pre- 
valezcan otros motivos legitimos para el tratamiento. 
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• Derecho de oposicion: derecho del interesado a opo- 
nerse al tratamiento de sus datos inclusive los relacio- 
nados con la elaboracion de perfiles cuando la finalidad 
sea la de mercadotecnia directa, asi como el derecho 
del interesado a oponerse al tratamiento de sus datos 
cuando el tratamiento este basado en un motivo o cau¬ 
sa de interes legitimo o interes publico o ejercicio de 
poderes publicos, incluida la elaboracion de perfiles. 

• Derecho a no verse sometido a un tratamiento basado 
unicamente en decisiones automatizadas individuals 
(articulo 22): derecho a no verse sometido a una deci¬ 
sion basada unicamente en un tratamiento automatiza- 
do, incluida la creacion de perfiles, que produzca efectos 
juridicos en el o le afecte significativamente de modo 
similar, salvo que el tratamiento se ampare en alguna de 
las excepciones previstas en el articulo citado. 


Entre los nuevos derechos regulados en el RGPD, se en- 
cuentran el derecho de limitacion del tratamiento (arti¬ 
culo 18), para supuestos tasados como, por ejemplo, en 
casos en los que es necesario realizar comprobaciones 
sobre la exactitud o inexactitud de los datos o cuando 
es necesario suspender el borrado de los datos porque 
asi lo solicita el interesado para la formulacion, ejercicio 
o defensa de reclamaciones; o el derecho a la portabi- 
lidad de datos (articulo 20) entendido como el derecho 
del afectado a obtener, en un formato estructurado, de 
uso comun y lectura mecanica, la informacion que le 
concierna y haya facilitado a un responsable de trata¬ 
miento cuando esa informacion se trata por medios au- 
tomatizados y sobre la base del consentimiento o para 
la ejecucion de un contrato. En relacion con este ultimo 
derecho, recientemente el Grupo de Trabajo del Articu¬ 
lo 29 de la Directiva 95/46/CE ha adoptado directrices 
sobre la aplicacion del derecho a la portabilidad. En este 
sentido, por ejemplo, el Grupo considera que el concep- 
to de datos facilitados por el interesado incluye los da¬ 
tos proporcionados de manera activa por el interesado 
y los datos observados (datos de ubicacion, busqueda, 
ritmo cardiaco, etc) pero no incluye dentro de los datos 
sujetos al derecho a la portabilidad a los datos inferidos 
o deducidos que hayan sido creados por el responsable 
de tratamiento a partir de los datos proporcionados por 
el interesado (como pueden ser los resultados algorit- 
micos). 

Trasladando el ejercicio de derechos a los tratamientos 
de Big Data y como ocurriera en los epigrafes relativos 
a informacion, consentimiento y calidad de los datos, la 
principal cuestion a tener en cuenta y resolver versa so¬ 
bre los usos y tratamientos futuros y no previstos en el 
momento de la captacion del dato. 

Si en esos epigrafes la problematica se suscitaba en 
como poder mantener informado permanentemente al 
afectado sobre los nuevos usos y finalidades del trata¬ 


miento y el modo de obtencion de los nuevos con- 
sentimientos o ampliacion de los anteriores, en lo 
que respecta al ejercicio de derechos el foco de aten- 
cion debe centrarse en el modo de facilitar informa¬ 
cion permanente a los afectados sobre el modo y 
procedimiento mediante el cual pueden ejercitar 
sus derechos, asi como la manera en la que, una vez 
ejercitado cualquiera de los mismos, debe ser aten- 
dido por el responsable o encargado de tratamiento. 

Asi por plantear algunos supuestos, estos serian al- 
gunos aspectos a tomar en consideracion antes de 
iniciar el tratamiento de Big Data: 


• La informacion al afectado se facilita en el mo¬ 
mento de captacion del dato, mientras que los tra¬ 
tamientos de Big Data, si por algo se caracterizan, es 
por su continuidad en el tiempo. De ahi la necesidad 
de implantar un sistema que facilite informacion so¬ 
bre el modo y el procedimiento para el ejercicio de 
derechos, y que la misma sea de facil acceso y loca- 
lizacion por parte de los afectados. 

• En los tratamientos de Big Data es habitual combi- 
nar informacion procedente de diferentes fuentes, 
tanto endogenas como exogenas. Elio no puede ser 
obstaculo para el ejercicio de derechos y se debe es- 
tar en posicion de poder facilitar tanto el origen de 
la informacion como las comunicaciones de datos 
realizadas a terceros y, en su caso, las transferencias 
internacionales de datos que se han efectuado, ya 
que esa trazabilidad permitira dirigirse por parte de 
los afectados, si asi lo estiman oportuno, a otros res- 
ponsables y encargados de tratamiento. 

• La disociacion del dato personal no debe ser una 
excusa y una traba para cursar los derechos. Se debe 
estar en disposicion de poder informar al afectado 
sobre el hecho de la anonimizacion, si se ha produ- 
cido, y del riesgo de reidentificacion existente en el 
caso del ejercicio de un derecho de acceso. Para el 
resto de los derechos se debera estar a la posibili- 
dad de reidentificacion por parte del responsable o 
encargado de tratamiento a la hora de atender su 
ejercicio por parte del afectado. Solo sera aplicable 
la normativa de proteccion de datos si es posible la 
reidentificacion del interesado, aunque ello no exo- 
nera del deber de responder a la solicitud advirtien- 
do del uso de datos anonimizados y, en su caso, del 
riesgo residual de reidentificacion. 

• Se deben utilizar soluciones tecnologicas actuales 
y adecuadas, que deben evolucionar conforme se 
vayan produciendo nuevos desarrollos tecnologicos. 


10 Grupo de Trabajo de Articulo 29 de la Directiva 95/46/CE / Directrices sobre el derecho a la portabilidad de los datos / 13 de diciembre de 2016. 
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11.3.5.- DECISIONES INDIVIDUALES AUTOMATIZADAS. 

El RGPD contempla tres aspectos sobre la regulacion de las decisiones automatizadas que tendran una gran trascenden- 
cia en cualquier proyecto de Big Data. 

En primer lugar, los principios de proteccion de datos, segun el considerando 26 del RGPD, "no deben aplicarse a la in¬ 
formacion anonima, (...), ni a los datos convertidos en anonimos de forma que el interesado a quien se refieren no sea, 
o ya no resulte, identificable. En consecuencia, el presente Reglamento no afecta al tratamiento de dicha informacion 
anonima, ni siquiera con fines estadisticos y de investigacion". 

En segundo lugar, el RGPD da mucha importancia a los principios relativos al tratamiento leal y transparente de los datos, 
debiendo facilitar al interesado cuanta informacion complementaria sea necesaria a estos fines, asi como de la existen¬ 
ce de las elaboraciones de perfiles y de sus consecuencias. Dicha informacion, tal y como senala el considerando 60 del 
RGPD, "... puede transmitirse en combinacion con unos iconos normalizados que ofrezcan, de forma facilmente visible, 
ineligible y claramente legible, una adecuada vision del conjunto del tratamiento de datos previsto". 

El articulo 22 del RGPD regula una variante del derecho de oposicion respecto de las decisiones individuals automati¬ 
zadas, incluida la elaboracion de perfiles, que va a tener una gran importancia en los tratamientos de Big Data. Segun el 
articulo 4.4 del RGPD, elaboracion de perfiles es toda forma de tratamiento automatizado de datos personales consis- 
tente en utilizar datos personales para evaluar determinados aspectos personales de una persona fisica, en particular 
para analizar o predecir aspectos relativos al rendimiento profesional, situacion economica, salud, preferencias o intere- 
ses personales, fiabilidad o comportamiento, ubicacion o movimientos de dicha persona fisica. Portanto es importante 
destacar que todo interesado tendra derecho a no ser objeto de una decision basada unicamente en el tratamiento 
automatizado, incluida la elaboracion de perfiles, que produzca efectos jurfdicos en el o le afecte significativamente de 
modo similar. 

Elio supondra que el interesado podra oponerse a dicho tratamiento, pero siempre y cuando: a) la decision "automatiza- 
da" o basada en profiling produzca efectos jurfdicos que conciernan al interesado (v.gr. un banco que decide no conceder 
un prestamo o una hipoteca basandose en determinados perfiles de riesgo) o b) la decision "automatizada" o basada en 
profiling le afecte significativamente. 

En este aspecto es importante tener en cuenta que la premisa basica es que exista una decision exclusivamente "au¬ 
tomatizada" sin que medie intervencion humana alguna, debiendo informarse al interesado acerca de la existencia de 
un mecanismo de decision automatizado que comprenda la elaboracion de perfiles, la logica aplicada, importancia y 
consecuencias para el interesado. 

Cabe anadir que el citado articulo recoge excepciones a lo anterior y senala que lo anteriormente citado no se aplicara 
si la decision es necesaria para la celebracion o la ejecucion de un contrato entre el interesado y un responsable del 
tratamiento o se base en el consentimiento explfcito del interesado. 

En tercer lugar, el ultimo apartado del articulo 22 del RGPD establece una prohibicion general de adoptar decisiones 
individualizadas automatizadas basadas en datos personales sensibles (origen etnico o racial, opiniones politicas, con- 
vicciones religiosas o filosoficas, afiliacion sindical, datos geneticos, datos biometricos o datos relativos a la salud, vida 
y orientacion sexuales) salvo consentimiento explfcito del interesado o por motivos de interes publico, siempre que se 
hayan tornado medidas adecuadas para salvaguardar los derechos y libertades, y los intereses legitimos del interesado. 




III.PRINCIPIOS Y 
ASPECTOS 
PROCEDIMIENTALES 


lll.l.- PRIVACIDAD DESDE EL DISENO. 

Una de las buenas practicas a tener en cuenta en todo 
proyecto relacionado con Big Data es precisamente con- 
siderar la privacidad desde el diseno, con el objetivo de 
asegurar que las garantfas de proteccion de los datos se 
incorporan ya desde la fase de planificacion de los proce- 
dimientos y sistemas de informacion. 

En la practica, supone tener en consideracion la privaci¬ 
dad y el cumplimiento de las normativas de proteccion 
de datos desde la fase inicial del proyecto (de la misma 
manera que se tienen en consideracion el resto de requi¬ 
sites funcionales y no funcionales) con el objetivo de que 
el proyecto se disene e incluso ajuste y desarrolle tenien- 
do en consideracion dichos requerimientos, de tal manera 
que la privacidad se integre en las nuevas tecnologias y 
practicas empresariales directamente, desde el principio, 
como un componente esencial de la proteccion de la pri¬ 
vacidad. 

Por otra parte, no hay que perder de vista que, si se tienen 
en consideracion estos aspectos desde el inicio, se evitara 
tener que redefinir los sistemas y procesos continuamen- 
te y, por lo tanto, incurrir en costes futuros asociados a la 
implantacion de estos requerimientos. 

En este sentido, uno de los enfoques mas ampliamente 
reconocidos relacionado con la privacidad proactiva es 
Privacy by Design (PbD), concepto desarrollado en la de- 
cada de los noventa y es el que se esta adoptando glo- 
balmente por un creciente numero de organizaciones y 
jurisdicciones. 

El concepto proteccion de datos desde el diseno y por 
defecto, recogido en el articulo 25 del RGPD, consiste en 
incorporar, desde las primeras fases de todo proyecto, 
medidas tecnicas y organizativas apropiadas, teniendo en 
cuenta factores como el estado de la tecnica, el coste de la 
aplicacion o los riesgos del tratamiento para los derechos 
y libertades de los afectados, para cumplir los requisitos 
del Reglamento y proteger los derechos de los interesa- 
dos. 


Para poder llevarlo a la practica, se establecen los siguien- 
tes 7 principios fundamentales: 

- Proactivo no reactivo; preventivo no correctivo: la pri¬ 
vacidad desde el diseno suele caracterizarse por tomar 
medidas proactivas en lugar de reactivas. Se anticipa y 
previene la perdida de privacidad de la informacion antes 
de que suceda. 

- La privacidad como Configuracion por Defecto o Privaci¬ 
dad por Defecto: ofrecer el maximo grado de privacidad 
para asegurar que los datos personales estan protegidos 
automaticamente en cualquier sistema informatico o 
dentro de las buenas practicas. Sin necesidad de actua- 
cion por parte del cliente o proveedor, la proteccion de su 
informacion y su privacidad se mantiene intacta, ya que 
esta integrado en el sistema por defecto. 

- La privacidad embebida en el diseno: la proteccion de la 
informacion debe estar embebida en la infraestructura Tl 
y en los procesos de la empresa. No debe ser considerado 
como un anadido sino como un componente esencial del 
nucleo como parte integral del sistema, sin disminuir la 
funcionalidad. 

- Funcionalidad completa- Suma-Positiva, no de Suma-Ce- 
ro: con este principio se pretende dar cabida a todos los 
intereses y objetivos legitimos de una forma de suma 
positiva "win-win", no a traves de un enfoque anticuado 
de suma cero, donde se hacen innecesarias las compen- 
saciones. Se trata de garantizar que se cubren todas las 
funcionalidades y necesidades de los distintos implica- 
dos, pero sin afectar a la privacidad. Privacidad desde el 
diseno evita la pretension de falsas dicotomias, como la 
privacidad frente a la seguridad. No tiene sentido pensar 
en la privacidad sin la seguridad ni la seguridad sin la pri¬ 
vacidad. 

- Seguridad punto-a-punto- Proteccion completa del ciclo 
de vida de los datos: desde el momento de su recolec- 
cion, la proteccion se extiende a traves de todo el ciclo 



Codigo de buenas practicas en protection de datos para proyectos de Big Data 


Pag. 21 


de vida de los datos involucrados. De esta manera, todos los datos se conservan y destruyen de forma segura, aseguran- 
do la gestion del ciclo de vida seguro de la informacion, punto a punto. 

- Visibilidad y transparencia- Mantenerlo abierto: garantizar a todos los interesados que, sean cuales sean las practicas 
de negocio o la tecnologia utilizadas, funcionaran de acuerdo con los compromises y los objetivos establecidos, y que 
estaran sujetos a una verificacion independiente. De esta forma los componentes y operaciones permanecen visibles y 
transparentes, a los usuarios y proveedores por igual. Recuerda: iConffa, pero verifica! 

- El respeto a la privacidad del usuario- Mantengala centrada en el usuario: por encima de todo, la privacidad desde 
el diseno requiere que los desarrolladores y operadores del sistema mantengan por encima de todo el interes de las 
personas, ofreciendo unas medidas de proteccion fuertes en sus valores predeterminados de privacidad, con avisos 
apropiados, y fortalecer las opciones para que sean faciles de usar. 

Si en todo proyecto de Big Data se tuviesen en consideracion estos principios, y muy en particular los asociados a la 
Limitacion en la Recogida y la Minimizacion de Datos, se reduciria considerablemente el riesgo para la privacidad. 

III.2.- "ACCOUNTABILITY". 

El principio de accountability esta mtimamente relacio- 
nado con la responsabilidad social corporativa o institu- 
cional vinculado al desarrollo de las nuevas tecnologias, 
especialmente en lo atinente a los tratamientos de da¬ 
tos de caracter personal que se puedan llevar a cabo. 

Por ello, puede afirmarse que la accountability constitu- 
ye un principio consistente en el reconocimiento, asun- 
cion de responsabilidad y actitud transparente sobre los 
impactos de las politicas, decisiones, acciones, produc- 
tos y desempeno asociados a una organizacion. 

La accountability constituye una filosofia que implica la 
procedencia de dar cumplimiento al regimen juridico y 
las obligaciones derivadas de la proteccion de datos de 
caracter personal, con independencia de que exista una 
norma concreta de caracter imperativo que asi lo exija. 

Por ello, esto obliga a las organizaciones a implicar a los 
grupos de interes para identificar, comprendery respon¬ 
der a los temas y preocupaciones existentes en este am- 
bito, a los efectos de poder garantizar adecuadamente 
la sostenibilidad juridica y social de los tratamientos de 
datos, informando, explicando y dando repuesta al efec- 
to al regulador, a los ciudadanos como titulares de los 
datos, y a la sociedad en general acerca de las decisio¬ 
nes, las acciones y el desempeno. 

En materia de proteccion de datos este principio alu- 
de, tal como senala la Agenda Espanola de Proteccion 
de Datos, a la responsabilidad de las companias en la 
implantacion de medidas, en el seno de sus organizacio¬ 
nes, de garantia y cumplimiento de los principios y obli¬ 
gaciones en materia de proteccion de datos, asi como 
el establecimiento de mecanismos internos y externos 
para evaluar su fiabilidad y demostrar su efectividad 
cuando se solicite por las autoridades de control. 

Este principio tiene una gran relevancia tanto en entor- 
nos publicos como privados, particularmente en el con- 
texto actual, marcado por el empleo intensivo de nue¬ 


vas tecnologias y, fundamentalmente, de los servicios de 
Internet. 

Consecuencia de todo lo anterior, el Grupo de Trabajo 
del Articulo 29 considera que las medidas comunes de 
responsabilidad, entre las que se puede materialmente 
concretar este principio de la accountability, pueden ser, 
entre otras, las que se citan a continuacion: 


• El establecimiento de procedimientos internos previos 
a la creacion de nuevas operaciones de tratamiento de 
datos personales (revision interna, evaluacion, etc.). 

• El establecimiento de politicas escritas y vinculantes de 
proteccion de datos que se tengan en cuenta y se valoren 
en nuevas operaciones de tratamiento de datos (p.ej., 
cumplimiento de los criterios de calidad de datos, notifi- 
cacion, principios de seguridad, acceso, etc.) que deben 
ponerse a disposicion de las personas interesadas. 

• La cartografia de procedimientos que garanticen la 
identificacion correcta de todas las operaciones de trata¬ 
miento de datos y el mantenimiento de un inventario de 
las mismas. 

• El nombramiento de un delegado de proteccion de da¬ 
tos. 

• La oferta adecuada de formacion en proteccion de da¬ 
tos a los miembros del personal; esto debe incluir a los 
responsables de los procesos de datos personales (como 
los directores de recursos humanos), pero tambien a 
los administradores de tecnologias de la informacion, 
desarrolladores en general, y directores de unidades co- 
merciales. Deben asignarse recursos suficientes para la 
gestion de la privacidad, el establecimiento de procedi¬ 
mientos de gestion del acceso y de las demandas de co- 
rreccion y eliminacion de datos con transparencia para 
las personas interesadas. 
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• El establecimiento de un mecanismo interno de resolucion de quejas de los interesados. En este ambito puede jugar 
un papel destacado el Delegado de Proteccion de Datos. 

• El establecimiento de procedimientos internos de gestion y notificacion eficaces de fallos de seguridad (violaciones 
de seguridad). 

• La realizacion de evaluaciones de impacto sobre la privacidad en circunstancias especificas. 

• La aplicacion y supervision de procedimientos de verificacion que garanticen que las medidas no sean solo nomina- 
les, sino que se apliquen y funcionen en la practica (auditorias internas o externas). 


Por otra parte, el Reglamento promueve la elaboracion de codigos de conducta como mecanismos o instrumentos de 
autorregulacion para garantizar su cumplimiento, previendo expresamente que establezcan procedimientos extrajudi- 
ciales de resolucion de conflictos que permitan resolver las controversias entre los responsables del tratamiento y los 
interesados. 

En definitiva, y a los efectos que nos ocupan, cualquier planteamiento de Big Data debe ajustarse a los principios de la 
accountability. 

El GT29 en sus opiniones esta convencido de que el aumento no solo de los riesgos sino del valor de los datos persona¬ 
ls en si abunda en la necesidad de reforzar el papel y la responsabilidad de los responsables del tratamiento de datos. 

El artfculo 5.2 del RGPD recoge el principio de accountability (responsabilidad proactiva), es decir, que el responsable 
del tratamiento debe estar en disposicion de demostrar que cumple con lo regulado en el Reglamento. 

III.3.- EVALUACION DE IMPACTO (EIPD). 

La Evaluacion de Impacto de la Proteccion de Datos, en adelante EIPD, es un proceso que ha de permitir a las empresas 
y administraciones determinar si las iniciativas que involucran el uso de informacion privada representan riesgos para 
el derecho a la proteccion de datos y, como valor anadido, les permite medir, cuantificar dichos riesgos y valorar el im¬ 
pacto que tienen sobre los derechos y libertades de las personas cuyos datos personales tratan. 

Por su parte, el Reglamento Europeo de Proteccion de Datos formula un modelo de cumplimiento basado en la gestion 
enfocada al riesgo de manera que la EIPD se constituye como una herramienta clave para garantizar la privacidad de 
productos y servicios, puesto que sirve para poder justificar y evaluar correctamente las decisiones que se adopten y 
que impliquen la realizacion de cualquier clase de tratamiento. 

Big Data se caracteriza por incorporar en el Business Intelligence o inteligencia empresarial las fuentes de Internet (re¬ 
des sociales, blogs, foros, medios de comunicacion...), la actualizacion permanente de las mismas y el caracter continuo 
e inmediato de los analisis, hechos que exponen y elevan los riesgos potenciales para la privacidad. 

En este sentido, las organizaciones deben ser especialmente cautas con los riesgos asociados a sus procesos de identi- 
ficacion, analisis y recoleccion de informacion. 

Al adoptar nuevas soluciones tecnologicas como Big Data, todos los riesgos deben ser identificados y gestionados. Eso 
incluye desarrollar un sistema de administracion y gestion de los mismos acorde con la estructura organizativa y los pro¬ 
cesos relacionados con tratamientos de datos personales, que garantice la continuidad de los procesos, asi como hacer 
frente, entre otros, a los riesgos legales y regulatorios. 

En el RGPD se exige la realizacion de evaluaciones de impacto como herramientas indispensables para evaluar "el ori- 
gen, naturaleza, particularidades y gravedad del riesgo, en los casos en que las operaciones de tratamiento puedan dar 
lugar a un alto riesgo para los derechos y libertades de las personas". Concretamente la propuesta del RGPD, establece 
la necesidad de realizar la EIPD siempre que se den las siguientes circunstancias: 


• Cuando las operaciones de tratamiento impliquen llevar a cabo una evaluacion sistematica y amplia de aspectos 
personales relativos a personas fisicas, que incluye la elaboracion de perfiles, y especialmente si sobre el resultado del 
tratamiento se basan decisiones que produzcan efectos juridicos sobre el individuo, o pueden afectar de manera signi- 
ficativa a los individuos. 
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• El tratamiento a gran escala de datos sensibles, es decir, los referidos en el artfculo 9 del RGPD: los que revelen el 
origen etnico o racial, opiniones politicas, convicciones religiosas o filosoficas, afiliacion sindical, tratamiento de datos 
genetfcos, datos biometricos dirigidos a identificar de manera univoca a una persona y datos relativos a la salud, la vida 
sexual o la orientacion sexual de una persona. 

• Los datos obtenidos del control de areas de acceso publico a gran escala, mediante monitorizacion por sistemas de 
video vigilancia. 


Bajo estas circunstancias, las organizaciones deberan incluir en sus proyectos Big Data relacionados con la recopila- 
cion, uso y divulgacion de datos personales una EIPD que venga a demostrar que dicho tratamiento pretende lograr un 
objetivo espedfico y legitfmo, y que el riesgo en la privacidad una vez adoptadas las medidas de seguridad necesarias, 
sea residual. 

El artfculo 35 del RGPD establece el contenido minimo que debe incluir una evaluacion de impacto. Un guion adecuado 
para la confeccion de la EIPD, podria ser el sugerido por la AEPD en la guia publicada en su pagina web, que contfene 
los puntos siguientes: 


• Descripcion sistematica del/los tratamiento/s con- 
siderados. Se trata de conocer la tfpologia de datos 
a tratar, los soportes para el tratamiento, duracion 
prevista, las tecnologfas de informacion involucradas 
y sus aspectos funcionales, el flujo de datos, los des- 
tinatarios (...), en una descripcion detallada del ciclo 
de vida en el tratamiento de los datos. 

Dado que los proyectos Big Data afectan a un volu- 
men importante de personas se han de llevar a cabo 
consultas a las partes interesadas, e incluir dichas 
contribuciones en el documento de evaluacion. 

Cuanto mas exhaustfva es esta primera descripcion 
mas puede ayudar a las organizaciones a considerar 
de inicio metodos menos invasivos, ya sea recogien- 
do datos anonimos o bien utilizando tecnologias res- 
petuosas con la confidencialidad. 

• Identfficacion y valoracion de los riesgos. En funcion 
del contexto de tratamiento de datos, hay que iden- 
tificar las fuentes de riesgos, los posibles escenarios 
de sucesos no deseados y amenazas que los pueden 
hacer posibles, las vulnerabilidades que pueden faci- 
litar la materializacion de dichas amenazas, asi como 
los impactos o consecuencias posibles sobre la vida 
privada de las personas afectadas. 

Los riesgos a valorar podrian clasificarse, en funcion 
de si afectan a las personas cuyos datos son tratados 
o si afectan a la organizacion que trata dichos riesgos. 
En el primer caso nos encontramos con impactos ta¬ 
les como la vulneracion de los derechos de las per¬ 
sonas, la perdida de la informacion tratada o el dano 
causado por el uso incorrecto de los datos. 

Los impactos para las organizaciones podrian resu- 
mirse en incumplimientos legales, perdida de reputa- 
cion, asi como la posibilidad de acciones sancionado- 
res o de responsabilidad. 


La estimacion de los riesgos, finalmente se realiza en 
terminos de severidad de los impactos y probabilidad 
de ocurrencia de los riesgos, considerando en esta va¬ 
loracion la ponderacion en el riesgo por las medidas de 
seguridad existentes. 

• Gestfon de los Riesgos evaluados y seleccion de las 
medidas de seguridad que permitan reducir los riesgos 
o su impacto final. La EIPD debe recoger la descripcion 
de las medidas tanto organizativas como de seguridad 
logica y fisica, y su influencia en la disminucion de la pro¬ 
babilidad y las consecuencias. 

• Analisis del cumplimiento normatfvo. Una vez valora- 
dos los riesgos, las medidas previstas y el impacto del 
cumplimiento normatfvo, los tratamientos deben ase- 
gurar el cumplimiento de los requisitos legales estable- 
cidos en la legislacion vigente. 

• Informe final y conclusion. De resultas de estudiar las 
etapas precedentes, la EIPD debe contener, a modo de 
conclusion, las recomendaciones con las medidas que 
deben adoptarse bien sean de eliminacion, mitfgacion, 
transferencia o aceptacion de los riesgos para la priva¬ 
cidad. 

• Implantacion de las recomendaciones. Para asegurar 
la efectfva implantacion de las medidas identificadas 
por la evaluacion de impacto es necesario asignar los 
recursos necesarios y verificar el seguimiento de todas 
las fases del proceso y la correcta implantacion de las 
medidas en relacion con los objetivos establecidos para 
tratar los riesgos de privacidad. 

• Revision y realimentacion. La organizacion debe es- 
tablecer un plan de supervision y revision que permita 
auditar los resultados de la evaluacion de impacto y las 
medidas adoptadas en aplicacion de los mismos, inclu- 
yendo estas revisiones como un elemento mas en su 
gestfon empresarial. 
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Estas revisiones deberan realizarse periodicamente, siempre que aparez- 
can nuevos riesgos o cuando las condiciones de tratamiento se modifiquen 
de manera substancial, ya sea por la aparicion de nuevas tecnologias, nue¬ 
vos afectados, nuevos datos, etc. 

Asimismo deben tenerse en cuenta las directrices elaboradas en abril de 
2017 por el GT29 sobre evaluaciones de impacto y para determinar si un 
tratamiento es susceptible de producir un alto riesgo en relacion con los 
objetivos del RGPD. 

Las directrices explican el sentido de los artfculos 35 y 36 del RGPD y apor- 
tan, entre otros, los siguientes elementos: 

- Una lista comun para la UE de operaciones de tratamiento de datos para 
los cuales la PIA es obligatoria con arreglo al art. 35.4. 

- Una lista de tratamientos para los cuales las PIAs no resultan necesarias 
con arreglo al art. 35.5. 

- Criterios comunes sobre la metodologia para las evaluaciones de impacto 
con arreglo al mencionado art. 35.5. 

Por ultimo la guia da respuesta, en cuatro apartados, a asuntos relevantes 
en relacion con las evaluaciones: 

1- Cual es el objeto de la PIA: operaciones unicas y conjuntos de 
operaciones similares de tratamientos de datos. 

2 - Cuando se debe someter de forma obligatoria un tratamiento 
de datos a evaluacion PIA. 

3 - Como llevar a cabo una PIA. 

4 - Cuando se debera consultar a la autoridad de supervision 
(en el caso de que el riesgo residual para la proteccion de datos 
sea elevado). 


III.4.- REUTILIZACION DE DATOS DISOCIADOS. 


anonimizacion, ya que dado el estado 
actual de la tecnologia, pueden susci- 
tarse situaciones que, aunque a priori 
no parecen permitir la reversibilidad, 
mediante la aplicacion de ciertas tecno- 
logias, si se podria llegar a identificar al 
interesado. 

En virtud de lo anterior, conforme a lo 
indicado por el GT29, es necesario reali- 
zar una evaluacion de las tecnicas y pro- 
cedimientos de anonimizacion utiliza- 
dos, a fin de acreditar que la disociacion 
realizada evita que: (i) se pueda identi¬ 
ficar a una persona fisica dentro de un 
conjunto de datos; (ii) se pueda relacio- 
nar o enlazar la informacion de una per¬ 
sona fisica a partir de la vinculacion de 
dos registros dentro de un conjunto de 
datos (o entre dos conjuntos de datos 
independientes); o (iii) se pueda inferir 
cualquier informacion sobre la persona 
fisica en un conjunto de datos. 

En este sentido, el GT29 advierte que 
los datos incluso anonimos, como las 
estadisticas, se pueden usar para enri- 
quecer los perfiles existentes de indi- 
viduos, creando asi nuevos supuestos 
de proteccion de datos. Por lo tanto, la 
anonimizacion no debe ser considerada 
como un ejercicio aislado, y los riesgos 
existentes se deben reevaluar regular- 
mente por los responsables del trata¬ 
miento. 


Para garantizar la irreversibilidad de los procesos de anonimizacion de los da¬ 
tos personales utilizados en las iniciativas de Big Data y, de este modo, la no 
aplicacion de la normativa de proteccion de datos, se habran de considerar 
tanto las fuentes de informacion disponibles en los diferentes medios, espe- 
cialmente en internet, como la tecnologia disponible, no solo por parte del 
responsable del tratamiento sino por cualquier otra persona. 

La AEPD, consciente de las dificultades para encontrar el ajuste perfecto entre 
anonimizacion e irreversibilidad, ha elaborado unas pautas utiles para im- 
plantar estas tecnicas que se habran de tener en cuenta ante pr<ppedimien- 
tos de 3 fionimizacion de datos personales en iniciativas de Big Data. 

En este mismo sentido, el GT29 analiza en el Dictamen 5/2014 , los limites 

que deben considerarse a la hora de aplicar procesos y tecnicas de anonimi¬ 
zacion de datos personales. 

Segun lo indicado por el GT29, para que exista una verdadera anonimizacion 
de datos personales, esta debe ser irreversible, es decir, que razonablemente 
no permita la identificacion del titular de los datos personales, si bien es pre- 
ciso valorar los riesgos derivados de las tecnicas implementadas para dicha 


En este mismo sentido, la AEPD esta- 
blece en sus Orientaciones sobre pro- 
cedimientos de anonimizacion de datos 
personales que en un proceso de anoni¬ 
mizacion es fundamental poder valorar 
los riesgos de reidentificacion posterior 
y como se van a garantizar los derechos 
de las personas en tal caso. 

La AEPD resalta, en cuanto a la selec- 
cion de las tecnicas de anonimizacion, 
la utilidad de los algoritmos de cifrado 
para este tipo de procesos, resaltando 
los algoritmos de "hash" como formu¬ 
la para garantizar la confidencialidad 
del dato por tratarse de una operacion 
en un solo sentido, es decir, partiendo 
de un dato podemos generar siempre 
la misma huella digital, pero partiendo 
de una huella digital nunca podremos 
obtener el dato original. No obstante, 
aclara que un mecanismo de hash no 


11 Orientaciones sobre proteccion de datos en la reutilizacion de la informacion del sector publico. 

12 Orientaciones y garantfas en los procedimientos de anonimizacion de datos personales. 

13 Dictamen 5/2014 sobre las tecnicas de anonimizacion de datos personales. 
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garantiza por si solo la irreversibilidad del dato, es preciso combinarlo con otras medidas tales como la aplicacion de 
algoritmos de cifrado, la utilizacion de sellos de tiempo, o la aplicacion de capas de anonimizacion, atendiendo a la 
criticidad de las variables de identificacion, a la organizacion interna de quien ejecuta el tratamiento y a su politica de 
anonimizacion. 

En combinacion con las tecnicas de anonimizacion mencionadas, pueden utilizarse otras como las de perturbacion de 
datos o los metodos de reduccion de datos. 

Basandose en lo anterior, para determinar que tecnica de anonimizacion debe ser aplicada, se debera partir siempre de 
cual es la finalidad que se busca en relacion al proceso de anonimizacion de los datos, realizando inicialmente el corres- 
pondiente analisis de riesgos del proceso de anonimizacion para posteriormente gestionar los riesgos resultantes con 
medidas tecnicas, organizativas o de cualquier otra indole. 

Conviene en este punto recordar que las tecnicas de anonimizacion no garantizan en terminos absolutos la imposibili- 
dad de reidentificacion, por lo que existira siempre un indice de probabilidad de reidentificacion que se debera intentar 
atenuar mediante la correspondiente gestion de riesgos. Con este objetivo, aunque no sea resulte obligatorio, aplicar la 
metodologia de la Evaluacion de Impacto en la Proteccion de Datos siempre es muy recomendable y, en todo caso, sera 
preciso llevar a cabo un proceso de evaluacion de riesgos centrado en analizar las posibilidades de reidentificacion de 
los interesados. 

Igualmente, indica la autoridad de control que sera necesario prever una hipotetica perdida de informacion por ne- 
gligencia del personal implicado, por falta de una politica de anonimizacion adecuada o por una revelacion de secreto 
intencionada que diera lugar a la perdida de las variables de identificacion o claves de identificacion de las personas. 

Los procesos de anonimizacion se deben de enfocar desde el concepto de Proteccion de Datos desde el Diseno, lo que 
significa que los requisites de privacidad deben ser tenidos en cuenta desde las etapas iniciales del diseno de las inicia- 
tivas de Big Data, para el proceso de anonimizacion y durante todo el ciclo de vida de dichas iniciativas. 

Asimismo, debe tenerse en cuenta que, para determinar las tecnicas y procedimientos con mayor idoneidad para reali- 
zar la anonimizacion, se debera analizar cada caso en concrete, teniendo en consideracion que, incluso un conjunto de 
datos anonimos, todavia podria presentar riesgos residuales a los titulares de los mismos. 

Igualmente, sera aconsejable definir una politica de anonimizacion que se encuentre documentada y actualizada, de 
manera que refleje de forma justificada las actuaciones llevadas a cabo para proteger la privacidad de los interesados y 
se encuentre accesible al personal implicado en el tratamiento de datos anonimizados; asi como un protocolo de actua- 
cion del proceso de anonimizacion que contemple, al menos, los siguientes parametros o elementos: 


• Identificacion de activos implicados en el proceso 
de anonimizacion. 

• Equipo de trabajo asignado y segregacion de fun- 
ciones, atendiendo a perfiles o roles en relacion con 
el proceso de anonimizacion, en linea con el princi- 
pio de independencia profesional. 

• Realizacion de una EIPD teniendo en cuenta lo in- 
dicado en la Guia para la evaluacion de impacto en 
la proteccion de datos personales publicada por la 
AEPD (identificacion de riesgos, valoracion de los 
riesgos existentes, salvaguardas encaminadas a evi- 


tar que los riesgos se materialicen, cuantificacion del 
impacto de la posible materializacion de los riesgos, 
informe de los riesgos resultantes, determinacion 
del umbral de riesgo aceptable, gestion de los ries¬ 
gos asumibles, informe final de los riesgos existentes 
y medidas a implantar para minimizar su impacto). 

• Revision de riesgos en caso de cambios en los pro¬ 
cesos de anonimizacion y reevaluaciones periodicas 
del riesgo residual existente con el objetivo de intro- 
ducir parametros de mejora de la calidad de los pro¬ 
cesos de anonimizacion. 
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• Formacion e informacion al personal implicado en los procesos de anonimizacion con respecto al cumplimiento de 
la norrmativa de proteccion de datos personales, especialmente en relacion con las medidas de seguridad de indole 
tecnica y organizativa, la existencia y aplicacion de una politica de anonimizacion, medidas de control del personal 
con acceso a la informacion anonimizada, obligaciones y deberes en caso de ruptura de la cadena de anonimizacion 
y las actuaciones que debe realizar para paliar el impacto resultante de la materializacion de alguno de los riesgos 
de reidentificacion. 

• Eliminacion o reduccion de variables que permitan la identificacion de las personas cuyos datos se traten en las 
iniciativas de Big Data. 

• Auditoria del proceso de anonimizacion y del uso posterior de los datos. 


La politica de anonimizacion, el protocolo de actuacion y las medidas tecnologicas adoptadas respecto de los proce- 
dimientos de anonimizacion habran de reforzarse con las garantfas juridicas necesarias para preservar los derechos 
de los interesados, tales como (i) acuerdos de confidencialidad y clausulas contractuales que garanticen la privacidad 
de la informacion incluso cuando haya brechas de reidentificacion; (ii) compromisos de mantenimiento de la ano¬ 
nimizacion de la informacion suscritos con los posibles destinatarios de la misma asi como de no realizar ninguna 
accion para re-identificarla; o (iii) auditorias de uso de la informacion anonimizada. 

Estas garantfas seran tenidas en cuenta como parte de las salvaguardas adoptadas para la minimizacion de los danos 
ante una eventual reidentificacion de los interesados. 


En ultimo lugar, se recomienda la realizacion de un proyecto piloto con una pequena muestra de datos de prueba 
(no reales) del que puedan extraerse, de forma objetiva, conclusiones con respecto a la vialidad de las tecnicas de 
anonimizacion propuestas y del procedimiento de anonimizacion. 


III.5.- RELACIONES CON LA AUTORIDAD DE CONTROL. 


Las autoridades nacionales de control juegan 
un papel primordial en la proteccion y la garan- 
tfa del derecho fundamental a la proteccion de 
datos de caracter personal, debiendo estas ve¬ 
lar por el mismo, tal y como reconoce el propio 
TJUE 1 ^en aplicacion de las facultades que aque- 
llas ostentan en virtud de la Carta de los De¬ 
rechos Fundamentales de la Union Europea y 
del nuevo paquete regulatorio europeo en este 
ambito, en particular, contenidas en el RGPD. 
En este sentido, el RGPD reconoce de forma 
expresa que el establecimiento en los Estados 
Miembros de autoridades de control capacita- 
das para desempenar sus funciones y ejercer 
sus competencias con plena independencia 
constituye un elemento esencial de la protec¬ 
cion de las personas fisicas con respecto al tra- 
tamiento de sus datos de caracter personal. 

Por este motivo, cuando un responsable de tra- 
tamiento planea realizar un proyecto Big Data, 
este debe contemplar en caso necesario la re¬ 
lacion e interlocucion con la correspondiente 
autoridad de control a estos efectos, tanto en 
el momento de diseno inicial del citado proyec¬ 
to, cuanto durante su realizacion y desarrollo 
efectivo, considerando de forma especial los 
siguientes aspectos en funcion del momento al 
que se refiera, a saber: 


A) Aspectos de interes a considerar en el momento del diseno: 

A. 1. Consulta previa a la autoridad de control en base a los re- 

sultados de la Evaluacion de Impacto en la Proteccion de Datos 

(EIPD) que se realice: 

Segun el art. 35 del RGPD, sera la autoridad de control compe- 
tente la que establezca la lista de operaciones o proyectos que 
requieran de una EIPD. 

El resultado del analisis de riesgos podria entranar un alto ries- 
go para los derechos o libertades de las personas fisicas, lo que 
obligaria a realizar una evaluacion de impacto en la proteccion 
de datos personales (EIPD). Asi se recoge en la Guia publicada 
por la AEPD, donde ya se apunta como recomendable hacer una 
EIPD en los casos en que se traten grandes volumenes de datos 
personales a traves de tecnologias de datos masivos (Big Data). 

Si el tratamiento de datos, en base a los resultados derivados de 
la EIPD, entrana un alto riesgo en caso de que no se adopten me¬ 
didas para mitigarlo, el responsable debe consultar a la autori¬ 
dad de control antes de proceder al mismo en los terminos del 
artfculo 36 del RGPD. Cuando la autoridad de control considere 
que el tratamiento previsto podria infringir la normativa aplicable 
debera, asimismo, en un plazo de ocho semanas desde la solici- 
tud de la consulta, asesorar por escrito al responsable, pudiendo 
prorrogarse dicho plazo por seis semanas mas, en funcion de la 
complejidad del tratamiento previsto. 


14 Entre otros pronunciamientos jurisprudenciales acerca de la importancia de las funciones y mision actual de las autoridades de control en el contacto mundial 
se destaca, en particular, el que sigue: http://curia.europa.eu/jcms/upload/docs/application/pdf/2015-10/cpl50117es.pdf 
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A. 2. Adopcion de medidas tecnicas v organizativas apropiadas en 

proyectos Big Data: 

Con caracter general, segun preve el artfculo 24.1 del RGPD, la 
empresa o el responsable de tratamiento aplicara medidas tecni¬ 
cas y organizativas apropiadas a fin de garantizar y poder demos- 
trar que el tratamiento es conforme con la normativa aplicable, y 
lo hara teniendo en cuenta la naturaleza, el ambito, el contexto y 
los fines del tratamiento, asf como los riesgos de diversa proba- 
bilidad y gravedad para los derechos y libertades de las personas 
fisicas, debiendo considerar de forma especial los principios de 
privacidad por diseno y por defecto en este ambito. 

Ademas de planificar y adoptar las anteriores medidas, el respon¬ 
sable, en el marco de la consulta previa a la que alude el aparta- 
do anterior, deberia informar de forma especifica a la autoridad 
de control sobre las concretas medidas y garantfas que estime 
adoptar en proyectos Big Data, debiendo la autoridad de control 
informar y asesorar al responsable en caso de que considere que 
este no ha identificado o mitigado suficientemente el riesgo con 
las medidas que haya proyectado. Todo ello en coherencia con lo 
previsto en el artfculo 57.1 del RGPD. 

B) Aspectos de interes a considerar en el desarrollo: 

B. l. Registro de actividades de tratamiento: 


En cumplimiento del artfculo 30 del RGPD, resulta obligatorio que 
el responsable, en el caso de desarrollar un proyecto Big Data, 
cuente con un Registro de las actividades de tratamiento asocia- 
das al mismo, el cual, quedara a disposicion de la autoridad de 
control competente. 

Este registro sera obligatorio para entidades con mas de 250 tra- 
bajadores, u empleando a menos personas, en el caso de que el 
tratamiento proyectado pueda entranar un riesgo para los dere¬ 
chos y libertades de los interesados (y ya se ha visto que los pro¬ 
yectos Big Data pueden comportar este riesgo), no sea ocasional, 
incluya categorias especiales de datos personales indicadas en el 
artfculo 9, apartado 1 del RGPD, o datos personales relativos a 
condenas e infracciones penales a que se refiere el artfculo 10 del 
mismo Reglamento. 

B.2. Notificacion por el responsable de tratamiento de una posi- 

ble violacion de la seguridad de los datos personales: 

En caso de que se produzca una violacion de la seguridad de los 
datos vinculados a un proyecto Big Data, debera comunicarse la 
misma a la autoridad de control que corresponda segun lo dis- 
puesto en el art.33 del RGPD. 

B.3. Coordinacion del Delegado de Proteccion de Datos que se 

nombre con la autoridad de control: 


A tenor de lo previsto en el artfculo 37 del RGPD, es importan- 
te que el responsable de tratamiento nombre un Delegado de 
Proteccion de Datos (DPD) cuando vaya a realizar proyectos Big 
Data (al poder ser calificados como tratamientos a gran escala) y 
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que ejercera las funciones dispuestas en el articu- 
lo 39 del RGPD y, con ello, el DPD nombrado sera 
quien actue como punto de contacto con la auto¬ 
ridad de control debiendo cooperar con ella. Del 
mismo modo, sera quien brinde el asesoramiento 
que se le solicite por parte del responsable acerca 
de la evaluacion de impacto relativa a la protec¬ 
cion de datos que se realice sobre el proyecto Big 
Data, debiendo tambien supervisar su aplicacion 
de conformidad con el artfculo 35 del RGPD. 


B.4. Deber general de cooperacion con la autori¬ 

dad de control en el desempeno de sus funciones 
(art.31 RGPD): 

Al margen de lo anterior, existe para todo tipo de 
tratamientos y de proyectos sobre datos persona¬ 
les (sean o no de Big Data) un deber del responsa¬ 
ble de tratamiento de colaborar con la autoridad 
de control en el correcto ejercicio de sus compe¬ 
tencies, operando este deber como una garantfa 
general en favor de la proteccion de la privacidad 
de las personas fisicas en este tipo de proyectos. 













IV. MEDIDAS TECNOLOGICAS 
PARA LA ME30RA DE LA 
PRIVACIDAD, SEGURIDAD 
Y CONFIANZA. 


La confianza depositada por el interesado en las empresas que dan soporte a este mundo digital es crucial para el apro- 
vechamiento mutuo de los beneficios que reporta el Big Data. 

Un estudio 15 reciente sobre la actitud de los europeos frente al potencial que el Big Data tiene para mejorar su vida o la 
de la sociedad revela que el 32% de los encuestados mantiene que aporta mas ventajas que desventajas, mientras que 
un 51% piensa lo contrario. El estudio concluye que las reticencias de los encuestados desaparecen, en gran medida, 
cuando entienden de forma clara los beneficios que se derivan del uso de Big Data para ellos y para el conjunto de la 
sociedad. 

Se pone asi de manifiesto la necesidad que las organizaciones, publicas y privadas, tienen de combatir este escepticismo 
del interesado mediante una explicacion clara de como analizan sus datos para que le transmita la confianza necesaria 
en la ERA Digital. 

Por lo tanto, esta claro que la confianza de los ciudadanos es clave para que pueda existir un despliegue de las potencia- 
lidades de las herramientas analfticas y, para que se produzca esa confianza, es imprescindible que las personas esten 
convencidas de que se ha tornado en serio su derecho a la privacidad y a la proteccion de datos; que se han evaluado 
los riesgos para su privacidad desde el inicio del proyecto y que se han puesto en marcha las medidas necesarias para 
eliminarlos o mitigarlos; y que en todo momento los tratamientos de datos en el area de Big Data se ajustan a la norma- 
tiva de proteccion de datos en vigor. 

IV.l.- ESTRATEGIAS DE PRIVACIDAD. 

El concepto de priva¬ 
cidad y proteccion de 
datos desde el diseno 
es fundamental para 
hacer frente a los ries¬ 
gos para la privacidad 
en las diferentes eta- 
pas de la cadena de 
valor de los proyectos 
de Big Data. 

En este sentido, segun 
un estudio sobre la 
privacidad por diseno 
y analisis de datos 16 , 
existen diferentes es- 
trategias de privacidad 
que pueden adoptarse 
desde el diseno que se 
exponen a continua- 
cion: 


- Minimizar: La cantidad de datos personales debe limitarse lo maximo posible (minimi- 
zacion de datos). 

- Agregar: Los datos personales deben ser procesados al mayor nivel posible de agrega- 
cion y con el minimo detalle. 

- Ocultar: Los datos personales y sus interrelaciones deben protegerse de forma que no 
sean visibles para los usuarios. 

- Separar: Los datos personales deber ser procesados en entornos separados y distribui- 
dos siempre que sea posible. 

- Informar: Los interesados deben ser adecuadamente informados cuando sus datos 
personales vayan a ser tratados (transparencia). 

- Controlar: Los interesados deben poder ejercer sus derechos y conocer en todo mo¬ 
mento el procesamiento que se va a realizar de sus datos. 

- Cumplir: Debe hacerse cumplir con una politica de privacidad compatible con los re- 
querimientos legales. 

- Demostrar: Se debe ser capaz de demostrar el cumplimiento de la politica de privaci¬ 
dad y de cualquier requerimiento legal aplicable. 


15 Big Data. A European survey on the opportunities and riisks of data analytics. Vodafone Institute for Society and Communications TNS. Enero 2016. 

16 Privacy by design in big data. An overview of privacy enhancing technologies in the era of big data analytics. Diciembre de 2015 citar la fuente por parte de 
ISMSForum. 
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Debido al volumen, la diversidad y la velocidad con la que en ocasiones los datos objeto de tratamiento deben ser 
procesados en los proyectos de Big data, se introducen varios desaffos adicionales a la hora de definir la estrategia mas 
adecuada de privacidad. 

Para hacer frente a dichos desaffos, es necesario conocer los puntos de vista de todas las partes implicadas, asf como 
tener en cuenta la finalidad no solo del proyecto en cuestion, sino de todas y cada de las fases que conforman la cadena 
de valor (adquisicion, recopilacion, analisis, validacion, almacenamiento y explotacion) de los proyectos de Big Data. De 
esta manera, sera posible extraer los requisitos de privacidad especfficos y las medidas de aplicacion correspondientes 
por cada fase. 

Sin embargo, es importante matizar que, para poner en practica un enfoque coherente, aparte de las necesidades de 
cada fase en particular, hay que tener en cuenta el ciclo de vida completo. 

Adicionalmente, no se trata solo de una tecnica u otra, sino mas bien de diversas tecnologias gracias a las cuales se 
podran cubrir adecuadamente las diferentes estrategias de privacidad definidas en cada una de las fases del ciclo de 
vida de los proyectos de Big Data. 

A continuacion, se exponen las distintas tecnicas o tecnologias que permitirian cubrir las diferentes estrategias de pri¬ 
vacidad: 

- Anonimizacion: Serviria para las estrategias de minimizar o agregar. 

- Cifrado: En el caso de ocultar o separar. 

- Control de Acceso: Si se trata de informar o controlar. 

- Trazabilidad: Para las de cumplir o demostrar. 

A continuacion, se presentan a modo resumen las estrategias de privacidad mas adecuadas para cada una de las fases 
que conforman la cadena de valor de Big Data: 


FASE BIG DATA 

ESTRATEGIA 

IMPLEMENTACION 


Minimizar 

* Seleccionar antes de adquirir 

* EIPD 


Agregar 

* Anonimizacion en la fuente origen 

Adquisicion y 

recoleccion 

Ocultar 

* Herramientas de cifrado 

* Herramientas de enmascaramiento de 

datos 


Informar 

* Transparency - Comunicacion al 

interesado 


Controlar 

* Mecanismos para recabar consentimiento 

Analisis y validacion 

Agregar 

* Tecnicas de anonimizacion 

Ocultar 

* Herramientas de cifrado 



# Herramientas de cifrado 


Ocultar 

* Mecanismos de autenticacion y control de 

Almacenamiento 


acceso 


Separar 

* Almacenamiento distribuido / 

descentralizado 

Explotacion 

Agregar 

• Tecnicas de anonimizacion 

Todas las fases 

Cumplir / 

Demostrar 

* Definicion de politicas 

* Trazabilidad de las acciones 

* Herramientas de cumplimiento 
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IV.2.- MEDIDAS TECNICAS. 

Aunque los procesos de anonimizacion y disociacion 
son clave para respetar la privacidad en los analisis de 
Big Data, no hay que desdenar otras medidas tecnicas 
aplicables al desarrollo de cualquier sistema, aunque 
con particularidades propias para su aplicacion a Big 
Data 1 '! Entre estas medidas cabe destacar medidas de ci- 
frado, de control de acceso, medidas de responsabilidad 
proactiva y medidas de transparencia, consentimiento, 
monitorizacion y control. 

IV.3 - MEDIDAS PARA MEJORAR LA CONFIANZA. 

El nuevo Reglamento General de Proteccion de Datos 
de la UE desarrolla en los Artfculos 40 a 43 los aspectos 
principales a considerar para el desarrollo de codigos de 
conducta, mecanismos de certificacion, sellos y etique- 
tas de proteccion de datos. 

Estas herramientas no solo sirven para guiar a los res- 
ponsables y encargados del tratamiento de datos per- 
sonales en el cumplimiento de los requisitos impuestos 
por la nueva regulacion, sino que, ademas, contribuyen 
a demostrar el cumplimiento de las obligaciones legales 
y refuerzan la confianza de los sujetos interesados y re- 
guladores en las organizaciones que las aplican. Aunque 
todas buscan ayudar a las organizaciones en el cumpli¬ 
miento de sus obligaciones legales, hay ligeras diferen- 
cias entre ellas que conviene destacar. 

Los codigos de conducta estan destinados a contribuir a 
la correcta aplicacion del Reglamento teniendo en cuen- 
ta las caracteristicas especificas de los distintos sectores 
de tratamiento, y seran las asociaciones y otros orga- 
nismos representatives de categorias de responsables 
o encargados del tratamiento quienes podran elaborar 
codigos de conducta, modificar o ampliarlos con objeto 
de especificar la aplicacion del Reglamento. Por tanto 
un codigo de conducta busca asistir a las organizaciones 
en la aplicacion adecuada de la nueva regulacion. Los 
codigos de conducta ya estaban presentes en la Directi- 
va de Proteccion de Datos, siendo el GT29 el encargado 
de aprobar aquellos que afectasen a toda la Union Eu¬ 
ropea. 

En el RGPD, el artfculo 40 es la principal fuente de refe¬ 
renda para el establecimiento de codigos de conducta, 
y en el se establece que seran las autoridades de pro¬ 
teccion de datos las que alentaran su desarrollo, bien 
directamente o a traves de terceros, y determinaran si 
proporcionan suficientes garantfas. 

Una vez aprobados, los codigos de conducta seran pu- 
blicados en un registro. Adicionalmente, el Artfculo 41 
establece la posibilidad de acreditar entidades indepen- 


dientes que se encarguen de monitorizar el adecuado 
cumplimiento del codigo de conducta por parte de una 
organizacion adherida. 

En la actualidad existen codigos de conductas en ambi- 

18 

tos tecnicos como la gestion de identidades federadas , 
la provision de servicios en la nube 1 ®y tambien en domi- 
nios de negocio como la publicidad 2 ?entre otros. Es de 
esperar que en proximas fechas aparezean nuevos codi¬ 
gos de conducta referentes al procesamiento masivo de 
datos que ayuden a las organizaciones a aplicar la nueva 
regulacion de forma adecuada. 

Por su parte, las certificaciones, sellos o etiquetas apa- 
recen en la nueva regulacion como un mecanismo acep- 
tado para demostrar el cumplimiento de la regulacion. 
En particular, el artfculo 42 establece que se promovera 
el establecimiento de mecanismos de certificacion y se¬ 
llos y etiquetas de proteccion de datos a nivel europeo. 
Por su parte, el artfculo 43 desarrolla los aspectos rela- 
cionados con el establecimiento y acreditacion de orga- 
nismos de certificacion. 

En la actualidad existen diversas certificaciones de pri- 
21 

vacidad , tanto a nivel nacional como internacional. Sin 
embargo, estas certificaciones varian en objetivos y al- 
cance, y por el momento no han sido acreditadas ofi- 
cialmente. En Europa, la certificacion de privacidad mas 
conocida es EuroPriSe, que ofrece certificaciones para 
productos y servicios IT que cumplen con la legislacion 
europea de proteccion de datos. 

IV.4.- BUENAS PRACTICAS. 

Las medidas tecnicas y de confianza descritas en esta 
seccion evolucionan constantemente en linea con los 
vertiginosos avances tecnologicos. Dada esta rapida 
evolucion, hay que tener en cuenta que los procesos 
realizados pueden no ser definitivos e irreversibles, ya 
que dependeran del avance de la tecnica y de las fuen- 
tes de datos conocidas. 

La solucion optima debe decidirse caso por caso y puede 
conllevar la combinacion de diversas tecnicas, teniendo 
siempre como objetivo principal el evitar la identifica- 
cion del interesado sobre todo al usar varias fuentes de 
informacion, sean o no accesibles al publico. Se conside- 
raran buenas practicas: 

• La metodologia de Proteccion de Datos desde el Di- 
seno (PDdD) deberia ser el marco de actuacion de to- 
dos los procesos descritos, impulsando los analisis de 
impacto en la proteccion de datos que deben estar pre¬ 
sente en los estudios previos al establecimiento de las 
medidas tecnicas necesarias. 


17 https://downloads.cloudsecurityalliance.org/initiatives/bdwg/Expanded_Top_Ten_Big_Data_Security_and_Privacy_Challenges.pdf 

18 GEANT Data Protection Code of Conduct. 

19 Data Protection Code of Conduct for Cloud Service Providers. 

20 Dictamen 4/2010 relativo al «Codigo de conducta europeo de la FEDMA sobre la utilizacion de datos personales en la comercializacion directa». GT29. Bruselas 
2010 . 

21 Certification schemes for cloud computing o los que se mencionan en el sitio web de I NCI BE. 


• Antes de aplicar cualquier tecnica de anonimizacion 
hay que valorar el uso de la misma en relacion a los 
requisitos previos o contexto y los objetivos o finalidad 
del proceso de anonimizacion que buscamos. 

• La anonimizacion realizada se debe ir revisando pe- 
riodicamente e igualmente evaluando los posibles 
nuevos riesgos que puedan surgir como consecuencia 
de diferentes factores, riesgo residual de datos ano- 
nimizados, nuevas fuentes de datos a cruzar, nuevas 
tecnologias, etc. 


• Las tecnicas de anonimizacion deben preservar la 
utilidad de los datos en la medida de lo posible, sin 
perder de vista el impacto que puede tener la utiliza- 
cion de las mismas, especialmente en el caso de elabo- 
racion de perfiles. 


• No hay que confundir seudonimizacion y anonimiza¬ 
cion. La seudonimizacion es una tecnica que consiste 
en reemplazar un atributo por otro en un registro, re¬ 
duce la capacidad de vinculacion de un conjunto de 
datos con la identidad original del interesado, pero 
sigue permitiendo identificar indirectamente al intere¬ 
sado si no se anaden otras medidas, portanto, es una 
medida de seguridad util a usar como paso intermedio 
en un proceso de anonimizacion. 

• Se deben establecer medidas adicionales de seguri¬ 
dad en todos los elementos que intervienen en el pro¬ 
ceso de la anonimizacion, como auditorias periodicas 
de las fuentes de informacion, de los canales de trans- 
mision de la informacion, de las localizaciones fisicas 
de las fuentes de informacion, etc., aplicando los es- 
tandares, sellos y buenas practicas en seguridad y pri- 
vacidad de la informacion. Este marco integral deberia 
incluir un procedimiento de deteccion y notificacion 
de posibles brechas de privacidad que pudieran surgir, 
como casos de re-identificacion. 

• Es recomendable la adopcion de codigos de conduc- 
ta en las organizaciones para facilitar la aplicacion de 
la legislacion vigente, asi como la obtencion de certifi- 
caciones, sellos o etiquetas que permitan demostrar a 
terceros su adecuado cumplimiento, de forma que la 
privacidad se pueda convertir en valor referencial de 
las mismas. 
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Para la elaboration del presente Gufa de Buenas Practicas se ha considerado lo dispuesto en las siguientes disposi- 
ciones, normativas y documentos: 

REGLAMENTO DEL PARLAMENTO EUROPEO Y DEL CONSEJO relativo a la proteccion de las personas ffsicas en lo que respecta al tratamiento de 
datos personales y a la libre circulation de estos datos y por el que se deroga la Directiva 95/46/CE (RGPD). 

Ley Organica 15/1999, de 13 de diciembre, de Proteccion de Datos de Caracter Personal (LOPD). 

Real Decreto 1720/2007, de 21 de diciembre, por el que se aprueba el Reglamento de desarrollo de la Ley Organica 15/1999, de Proteccion de 
Datos (RLOPD). 

Dictamen 6/2013, emitido por el Grupo de Trabajo del Artfculo 29, sobre proteccion de datos en la reutilizacion de la information del sector publico. 
Dictamen 5/2014, emitido por el Grupo de Trabajo del Artfculo 29, sobre tecnicas de anonimizacion. 

Orientaciones sobre procedimientos de anonimizacion de datos personales emitidas por la Agencia Espanola de Proteccion de Datos en 2015. 
(2015) 

'Towards a thriving data-driven economy', which sets forth the Commission's strategy on Big Data COM (2014) 442 final. 

Opinion 7/2015 Meeting the challenges of Big Data l(European data Protection Supervisor). (2015) https://secure.edps.europa.eu/EDPSWEB/ 
webdav/site/mySite/shared/Documents/Consultation/Opinions/2015/15-ll-19_Big_Data_EN.pdf 19/11/2015. 

Privacy by design in Big Data: An overview of privacy enhancing technologies in the era of Big Data analytics (European Union Agency For Network 
And Information Security), https://www.enisa.europa.eu/media/news-items/privacy-by-design-in-big-data-an-overview-of-privacy-enhancing-te- 
chnologies-in-the-era-of-big-data-analytics 17/12/2015. 

"Opinion 03/2013 on purpose limitation". (2 April 2013). 

Agencia de los Derechos Fundamentales de la Union Europea y Consejo de Europa (2014). Manual de legislation europea en materia de la protec¬ 
cion de datos. Luxemburgo: Oficina de Publicaciones de la Union Europea. 

APARICIO SALOM, J. (2013). Estudio sobre la Proteccion de Datos. Aranzadi. Capitulo VII. Apartado XII.I. 

European Data Protection Supervisor: Opinion 7/2015 Meeting the challenges of Big Data (2015). 

Federal Trade Commission: Big Data a Tool for Inclusion or Exclusion, https://www.ftc.gov/system/files/documents/reports/big-data-tool-inclu- 
sion-or-exclusion-understanding-issues/160106big-data-rpt.pdf January 2016. 

Information Commissioner's Office: Big Data and data protection. 

Mayer-Schonberger, V. y Cukier, K. (2013). Big Data. La revolution de los datos masivos. Turner. 

Recomendacion CM/ Rec (2010) 13, del Comite de Ministros a los Estados miembros sobre la proteccion de las personas con respecto al tratamien¬ 
to automatizado de datos de caracter personal en el contexto de la creation de perfiles. 

SEMPERE SAMANIEGO, F. J. (2013). Comentarios practicos a la Propuesta de Reglamento de Proteccion de Datos de la Union Europea. Licencia 
Creative Commons (CC BY-NC-SA). 

CNIL. Metodologia para la gestion de riesgos para la Privacidad. 

El enfoque de ENISA (European Union Agency for Network and Information Security) para la Gestion de riesgos. 

Guia para una evaluation de impacto en la proteccion de datos personales. AEPD. 2014. 

Etude d'lmpact sur la vie Privee (EIVP). Comment mener une EIVP. CNIL francesa. Junio de 2015. 

Benefit-Risk Analysis for Big Data Projects. Future of Privacy Forum. Septiembre 2014. 

The 7 Foundational Principles. Implementation and Mapping of Fair Information Practices. (Ann Cavoukian, Ph.D.-Information & Privacy Commis¬ 
sioner. Ontario, Canada). 

Privacy By Design- Protecting privacy in the age of analytics (Deloitte). 

Privacy and Data Protection by Design - from policy to engineering (ENISA - European Union Agency for Network and Information Security). 


32nd International Conference of Data Protection and Privacy Commissioners. Privacy by design resolution. 
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Mas informacion en: 




www.agpd.es 


www.ismsforum.es 










